Automatisches Sperren von Windows nach Inaktivität mit PowerShell

Das Sperren eines Computers nach einer gewissen Zeit der Inaktivität ist eine wichtige Sicherheitsmaßnahme, die jeder IT-Experte kennt. Vor allem in gemeinsam genutzten oder öffentlichen Umgebungen stellt dies sicher, dass ein unbeaufsichtigter Arbeitsplatz nicht zu einer offenen Tür für bösartige Aktivitäten wird. PowerShell, das Rückgrat vieler IT-Vorgänge in Windows-Umgebungen, bietet eine vielseitige Möglichkeit zum Festlegen eines Inaktivitätszeitlimits. 

Hintergrund

Bei Inaktivitäts-Timeouts geht es nicht nur um Sicherheit, sondern auch um die Verwaltung von Ressourcen. IT-Experten und Managed Service Provider (MSPs ) implementieren diese Funktionen häufig, um Strom zu sparen, den Verschleiß der Hardware zu verringern und eine erste Sicherheitsstufe zu schaffen. Das zur Verfügung gestellte Skript taucht tief in die Welt der Automatisierung dieses Prozesses ein und ermöglicht einen „Set-it-and-forget-it“-Ansatz.

Das Skript

#Requires -Version 5.1

<#
.SYNOPSIS
    Set the Inactivity(Lock Computer) timeout time if it already isn't set.
.DESCRIPTION
    Set the Inactivity(Lock Computer) timeout time if it already isn't set.
    Can be set regardless if the -Force parameter is used.
.EXAMPLE
     -Minutes 5
    This set the Inactivity(Lock Computer) timeout to 5 minutes, does not change if already set.
.EXAMPLE
     -Minutes 5 -Force
    This set the Inactivity(Lock Computer) timeout to 5 minutes, and forces the change if already set.
.EXAMPLE
    PS C:> Set-IdleLock.ps1 -Minutes 5
    This set the Inactivity(Lock Computer) timeout to 5 minutes
.OUTPUTS
    None
.NOTES
    Minimum OS Architecture Supported: Windows 10, Windows Server 2016
    Release Notes: Renamed script and added Script Variable support, updated Set-ItemProp
By using this script, you indicate your acceptance of the following legal terms as well as our Terms of Use at https://www.ninjaone.com/terms-of-use.
    Ownership Rights: NinjaOne owns and will continue to own all right, title, and interest in and to the script (including the copyright). NinjaOne is giving you a limited license to use the script in accordance with these legal terms. 
    Use Limitation: You may only use the script for your legitimate personal or internal business purposes, and you may not share the script with another party. 
    Republication Prohibition: Under no circumstances are you permitted to re-publish the script in any script library or website belonging to or under the control of any other software provider. 
    Warranty Disclaimer: The script is provided “as is” and “as available”, without warranty of any kind. NinjaOne makes no promise or guarantee that the script will be free from defects or that it will meet your specific needs or expectations. 
    Assumption of Risk: Your use of the script is at your own risk. You acknowledge that there are certain inherent risks in using the script, and you understand and assume each of those risks. 
    Waiver and Release: You will not hold NinjaOne responsible for any adverse or unintended consequences resulting from your use of the script, and you waive any legal or equitable rights or remedies you may have against NinjaOne relating to your use of the script. 
    EULA: If you are a NinjaOne customer, your use of the script is subject to the End User License Agreement applicable to you (EULA).
.COMPONENT
    LocalUserAccountManagement
#>

[CmdletBinding()]
param (
    [Parameter()]
    [int]$Minutes,
    [switch]$Force = [System.Convert]::ToBoolean($env:force)
)

begin {
    if ($env:minutes -and $env:minutes -notlike "null") {
        $Minutes = $env:minutes
    }
    
    if(-not ($Minutes)){
        Write-Error "Minutes is required!"
        exit 1
    }

    if($Minutes -gt 9999 -or $Minutes -lt 0){
        Write-Error "Minutes must be between 0 and 9999 (including 0 and 9999)."
        exit 1
    }

    function Test-IsElevated {
        $id = [System.Security.Principal.WindowsIdentity]::GetCurrent()
        $p = New-Object System.Security.Principal.WindowsPrincipal($id)
        if ($p.IsInRole([System.Security.Principal.WindowsBuiltInRole]::Administrator))
        { Write-Output $true }
        else
        { Write-Output $false }
    }
    function Set-ItemProp {
        param (
            $Path,
            $Name,
            $Value,
            [ValidateSet("DWord", "QWord", "String", "ExpandedString", "Binary", "MultiString", "Unknown")]
            $PropertyType = "DWord"
        )
        # Do not output errors and continue
        $ErrorActionPreference = [System.Management.Automation.ActionPreference]::SilentlyContinue
        if (-not $(Test-Path -Path $Path)) {
            # Check if path does not exist and create the path
            New-Item -Path $Path -Force | Out-Null
        }
        if ((Get-ItemProperty -Path $Path -Name $Name)) {
            # Update property and print out what it was changed from and changed to
            $CurrentValue = Get-ItemProperty -Path $Path -Name $Name
            try {
                Set-ItemProperty -Path $Path -Name $Name -Value $Value -Force -Confirm:$false -ErrorAction Stop | Out-Null
            }
            catch {
                Write-Error $_
            }
            Write-Host "$Path$Name changed from $CurrentValue to $(Get-ItemProperty -Path $Path -Name $Name)"
        }
        else {
            # Create property with value
            try {
                New-ItemProperty -Path $Path -Name $Name -Value $Value -PropertyType $PropertyType -Force -Confirm:$false -ErrorAction Stop | Out-Null
            }
            catch {
                Write-Error $_
            }
            Write-Host "Set $Path$Name to $(Get-ItemProperty -Path $Path -Name $Name)"
        }
        $ErrorActionPreference = [System.Management.Automation.ActionPreference]::Continue
    }
}
process {
    if (-not (Test-IsElevated)) {
        Write-Error -Message "Access Denied. Please run with Administrator privileges."
        exit 1
    }
    
    $Path = "HKLM:SOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem"
    $IdleName = "InactivityTimeoutSecs"
    $Seconds = $Minutes * 60
    # Override "Check if already set"
    if (-not $Force) {
        # Check if already set
        if ($(Get-ItemProperty -Path $Path | Select-Object -Property $IdleName -ExpandProperty $IdleName -ErrorAction SilentlyContinue)) {
            $CurrentIdleSeconds = $(Get-ItemPropertyValue -Path $Path -Name $IdleName)
            # If value already set, do nothing.
            if ($CurrentIdleSeconds) { exit 0 }
        }
    }

    # Sets InactivityTimeoutSecs to $Minutes
    try {
        Set-ItemProp -Path $Path -Name $IdleName -Value $Seconds
        Write-Host "Set the Inactivity to $($Seconds/60) minutes."
    }
    catch {
        Write-Error $_
        exit 1
    }
}
end {
    
    
    
}

 

Detailansicht

Dieses PowerShell-Skript zielt darauf ab, das Inaktivitäts-Timeout unter Windows festzulegen. Und so funktioniert es:

• Voraussetzungen: Das Skript beginnt mit dem Hinweis, dass es mindestens Version 5.1 von PowerShell benötigt.
• Parameter: Es werden zwei Parameter gesetzt – $Minutes, der obligatorisch ist und die Dauer angibt, nach der der Computer gesperrt werden soll, und $Force, der, wenn er verwendet wird, die Zeitüberschreitung bei Inaktivität erzwingt, auch wenn sie bereits eingestellt ist.

Funktionen:

• Test-IsElevated: Prüft, ob das Skript mit Administratorrechten ausgeführt wird.
• Set-ItemProp: Bearbeitet die Erstellung oder Änderung des Registrierungsschlüssels.

Prozess-Block:

• Erste Überprüfung: Überprüft, ob der Benutzer über die erforderlichen Berechtigungen verfügt.
• Registry Path: Verweist auf den Ort, an dem die Zeitüberschreitung für die Inaktivität festgelegt ist.
• Zustand prüfen: Wenn der Schalter -Force nicht verwendet wird, wird geprüft, ob die Zeitüberschreitung bereits eingestellt ist. Wenn diese Option gesetzt ist, wird das Programm beendet, ohne Änderungen vorzunehmen.
• Timeout einstellen: Wenn die Bedingungen erfüllt sind, wird der Timeout für die Inaktivität festgelegt oder geändert.

Potenzielle Anwendungsfälle

Stellen Sie sich vor, Sie arbeiten in einem öffentlichen Computerraum einer Universität. Mehrere Schüler:innen nutzen diese Computer den ganzen Tag über. Um sicherzustellen, dass die Arbeit jedes einzelnen Schülers vertraulich bleibt, könnte die IT-Abteilung dieses Skript verwenden. Durch die Einstellung einer Inaktivitätszeit von z. B. 5 Minuten stellen sie sicher, dass das System automatisch gesperrt wird, wenn ein Schüler vergisst, sich abzumelden, und so einen unbefugten Zugriff verhindert.

Vergleiche

Es gibt zwar auch GUI-Methoden zum Einstellen von Inaktivitäts-Timeouts, z. B. über die Windows-Systemsteuerung, aber dieses Skript bietet einen Vorteil bei der Skalierbarkeit. Bei umfangreichen Installationen auf zahlreichen Computern ist die Verwendung eines solchen Skripts effizienter. Darüber hinaus können andere Methoden Gruppenrichtlinieneinstellungen beinhalten, aber ihnen fehlt die Granularität und schnelle Anwendung, die ein PowerShell-Skript bieten kann.

FAQs

• Warum PowerShell für diese Aufgabe verwenden?
  PowerShell ermöglicht die Automatisierung, Skalierbarkeit und schnelle Bereitstellung, insbesondere über mehrere Systeme hinweg.
• Sind Admin-Rechte immer erforderlich?
  Ja, zum Ändern von Systemeinstellungen wie Inaktivitätszeitüberschreitungen sind Administratorrechte erforderlich.
• Kann die Zeitüberschreitung auch für längere Zeiträume eingestellt werden?
  Mit diesem Skript kann die Zeitüberschreitung auf bis zu 9999 Minuten eingestellt werden, aber es ist wichtig, ein Gleichgewicht zwischen Benutzerfreundlichkeit und Sicherheit zu finden.

Auswirkungen

Während der unmittelbare Zweck darin besteht, die Sicherheit zu erhöhen, kann eine falsche Zeitüberschreitung bei Inaktivität die Arbeit stören, insbesondere wenn sie zu kurz eingestellt ist. Andererseits kann eine zu lange Zeitspanne die Sicherheit gefährden. Darüber hinaus sind Inaktivitätseinstellungen in Hochsicherheitsumgebungen von entscheidender Bedeutung, da es schwerwiegende Folgen haben kann, wenn ein Terminal nicht verschlossen ist.

Empfehlungen

• Test vor der Anwendung: Führen Sie Skripte immer in einer Testumgebung aus, bevor Sie sie umfassend einsetzen.
• Gleichgewicht zwischen Sicherheit und Benutzerfreundlichkeit: Kürzere Timeouts sind zwar sicherer, aber sie sollten die täglichen Aufgaben nicht behindern.
• Bleiben Sie auf dem Laufenden: Regelmäßige Überprüfung und Anpassung der Inaktivitäts-Timeouts entsprechend den organisatorischen Anforderungen.

Abschließende Überlegungen

NinjaOne bietet eine umfassende IT-Überwachungs- und Verwaltungslösung, die in Verbindung mit Skripten wie diesem eine solide Kontrolle über die IT-Umgebung ermöglicht. Ganz gleich, ob Sie Inaktivitäts-Timeouts festlegen oder andere Aspekte der IT-Infrastruktur verwalten möchten, NinjaOne ist ein zuverlässiger Partner für einen effizienten, sicheren und optimierten Betrieb.