Comment verrouiller automatiquement Windows après un délai d’inactivité à l’aide de PowerShell

Le verrouillage d’un ordinateur après une période d’inactivité est une mesure de sécurité indispensable et recommandée par tous les professionnels de l’informatique. En particulier dans les environnements partagés ou publics, cela permet de s’assurer qu’un poste de travail non surveillé ne devient pas une opportunité pour des personnes malveillantes. PowerShell est un pilier de nombreuses opérations informatiques dans les environnements Windows et offre un moyen polyvalent de définir un délai d’inactivité. 

Contexte

Le délai d’inactivité n’est pas seulement une question de sécurité, mais aussi de gestion des ressources. Les professionnels de l’informatique et les fournisseurs de services gérés (MSP) utilisent souvent cette fonction pour économiser de l’énergie, réduire l’usure du matériel et créer une première couche de sécurité. Le script fourni permet d’automatiser ce processus, ce qui permet de le configurer et de ne plus s’en soucier.

Le script

#Requires -Version 5.1

<#
.SYNOPSIS
    Set the Inactivity(Lock Computer) timeout time if it already isn't set.
.DESCRIPTION
    Set the Inactivity(Lock Computer) timeout time if it already isn't set.
    Can be set regardless if the -Force parameter is used.
.EXAMPLE
     -Minutes 5
    This set the Inactivity(Lock Computer) timeout to 5 minutes, does not change if already set.
.EXAMPLE
     -Minutes 5 -Force
    This set the Inactivity(Lock Computer) timeout to 5 minutes, and forces the change if already set.
.EXAMPLE
    PS C:> Set-IdleLock.ps1 -Minutes 5
    This set the Inactivity(Lock Computer) timeout to 5 minutes
.OUTPUTS
    None
.NOTES
    Minimum OS Architecture Supported: Windows 10, Windows Server 2016
    Release Notes: Renamed script and added Script Variable support, updated Set-ItemProp
By using this script, you indicate your acceptance of the following legal terms as well as our Terms of Use at https://www.ninjaone.com/terms-of-use.
    Ownership Rights: NinjaOne owns and will continue to own all right, title, and interest in and to the script (including the copyright). NinjaOne is giving you a limited license to use the script in accordance with these legal terms. 
    Use Limitation: You may only use the script for your legitimate personal or internal business purposes, and you may not share the script with another party. 
    Republication Prohibition: Under no circumstances are you permitted to re-publish the script in any script library or website belonging to or under the control of any other software provider. 
    Warranty Disclaimer: The script is provided “as is” and “as available”, without warranty of any kind. NinjaOne makes no promise or guarantee that the script will be free from defects or that it will meet your specific needs or expectations. 
    Assumption of Risk: Your use of the script is at your own risk. You acknowledge that there are certain inherent risks in using the script, and you understand and assume each of those risks. 
    Waiver and Release: You will not hold NinjaOne responsible for any adverse or unintended consequences resulting from your use of the script, and you waive any legal or equitable rights or remedies you may have against NinjaOne relating to your use of the script. 
    EULA: If you are a NinjaOne customer, your use of the script is subject to the End User License Agreement applicable to you (EULA).
.COMPONENT
    LocalUserAccountManagement
#>

[CmdletBinding()]
param (
    [Parameter()]
    [int]$Minutes,
    [switch]$Force = [System.Convert]::ToBoolean($env:force)
)

begin {
    if ($env:minutes -and $env:minutes -notlike "null") {
        $Minutes = $env:minutes
    }
    
    if(-not ($Minutes)){
        Write-Error "Minutes is required!"
        exit 1
    }

    if($Minutes -gt 9999 -or $Minutes -lt 0){
        Write-Error "Minutes must be between 0 and 9999 (including 0 and 9999)."
        exit 1
    }

    function Test-IsElevated {
        $id = [System.Security.Principal.WindowsIdentity]::GetCurrent()
        $p = New-Object System.Security.Principal.WindowsPrincipal($id)
        if ($p.IsInRole([System.Security.Principal.WindowsBuiltInRole]::Administrator))
        { Write-Output $true }
        else
        { Write-Output $false }
    }
    function Set-ItemProp {
        param (
            $Path,
            $Name,
            $Value,
            [ValidateSet("DWord", "QWord", "String", "ExpandedString", "Binary", "MultiString", "Unknown")]
            $PropertyType = "DWord"
        )
        # Do not output errors and continue
        $ErrorActionPreference = [System.Management.Automation.ActionPreference]::SilentlyContinue
        if (-not $(Test-Path -Path $Path)) {
            # Check if path does not exist and create the path
            New-Item -Path $Path -Force | Out-Null
        }
        if ((Get-ItemProperty -Path $Path -Name $Name)) {
            # Update property and print out what it was changed from and changed to
            $CurrentValue = Get-ItemProperty -Path $Path -Name $Name
            try {
                Set-ItemProperty -Path $Path -Name $Name -Value $Value -Force -Confirm:$false -ErrorAction Stop | Out-Null
            }
            catch {
                Write-Error $_
            }
            Write-Host "$Path$Name changed from $CurrentValue to $(Get-ItemProperty -Path $Path -Name $Name)"
        }
        else {
            # Create property with value
            try {
                New-ItemProperty -Path $Path -Name $Name -Value $Value -PropertyType $PropertyType -Force -Confirm:$false -ErrorAction Stop | Out-Null
            }
            catch {
                Write-Error $_
            }
            Write-Host "Set $Path$Name to $(Get-ItemProperty -Path $Path -Name $Name)"
        }
        $ErrorActionPreference = [System.Management.Automation.ActionPreference]::Continue
    }
}
process {
    if (-not (Test-IsElevated)) {
        Write-Error -Message "Access Denied. Please run with Administrator privileges."
        exit 1
    }
    
    $Path = "HKLM:SOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem"
    $IdleName = "InactivityTimeoutSecs"
    $Seconds = $Minutes * 60
    # Override "Check if already set"
    if (-not $Force) {
        # Check if already set
        if ($(Get-ItemProperty -Path $Path | Select-Object -Property $IdleName -ExpandProperty $IdleName -ErrorAction SilentlyContinue)) {
            $CurrentIdleSeconds = $(Get-ItemPropertyValue -Path $Path -Name $IdleName)
            # If value already set, do nothing.
            if ($CurrentIdleSeconds) { exit 0 }
        }
    }

    # Sets InactivityTimeoutSecs to $Minutes
    try {
        Set-ItemProp -Path $Path -Name $IdleName -Value $Seconds
        Write-Host "Set the Inactivity to $($Seconds/60) minutes."
    }
    catch {
        Write-Error $_
        exit 1
    }
}
end {
    
    
    
}

 

Description détaillée

Ce script PowerShell vise à définir le délai d’inactivité sous Windows. Voici comment il fonctionne :

• Prérequis : Le script commence par mentionner qu’il nécessite au moins la version 5.1 de PowerShell.
• Paramètres: Deux paramètres sont définis – $Minutes, qui est obligatoire et indique la durée après laquelle l’ordinateur doit se verrouiller, et $Force qui, lorsqu’il est utilisé, force le délai d’inactivité même s’il est déjà défini.

Fonctions:

• Test-IsElevated: Vérifie si le script est exécuté avec des droits d’administrateur.
• Set-ItemProp: Gère la création ou la modification de la clé de registre.

Bloc de processus :

• Vérification initiale : Vérifie que l’utilisateur dispose des privilèges nécessaires.
• Chemin d’accès au registre : Dirige vers l’emplacement où le délai d’inactivité est défini.
• Vérification de l’état : Si l’option -Force n’est pas utilisée, il vérifie si le délai d’inactivité est déjà défini. S’il est défini, il quitte le système sans apporter de modifications.
• Configuration du délai : Si les conditions sont remplies, le délai d’inactivité est fixé ou modifié.

Cas d’utilisation potentiels

Imaginez que vous travailliez dans un laboratoire informatique public d’une université. Plusieurs élèves utilisent ces ordinateurs tout au long de la journée. Pour garantir la confidentialité du travail de chaque étudiant, le service informatique pourrait utiliser ce script. En fixant un délai d’inactivité de 5 minutes, par exemple, ils s’assurent que si un étudiant oublie de se déconnecter, le système se verrouille automatiquement, empêchant ainsi tout accès non autorisé.

Comparaisons

Bien qu’il existe des méthodes graphiques pour définir des délais d’inactivité, par exemple via le panneau de configuration de Windows, ce script offre un avantage en termes d’évolutivité. Pour les déploiements sur de nombreux ordinateurs, l’utilisation d’un script comme celui-ci est plus efficace. De plus, d’autres méthodes peuvent impliquer des paramètres de stratégie de groupe, mais elles n’ont pas la précision et la rapidité d’application qu’un script PowerShell peut offrir.

FAQ

• Pourquoi utiliser PowerShell pour cette tâche ?
  PowerShell permet l’automatisation, l’évolutivité et le déploiement rapide, en particulier sur plusieurs systèmes.
• Les droits d’administrateur sont-il toujours nécessaire ?
  Oui, pour modifier les paramètres du système tels que les délais d’inactivité, les droits d’administrateur sont indispensables.
• Le délai d’inactivité peut-il être fixé pour des périodes plus longues ?
  Ce script permet de fixer le délai d’inactivité jusqu’à 9999 minutes, mais il est essentiel de trouver un équilibre entre la commodité et la sécurité.

Implications

Bien que l’objectif immédiat soit de renforcer la sécurité, un délai d’inactivité inapproprié peut perturber le travail, surtout s’il est trop court. En revanche, un délai trop long peut compromettre la sécurité. De plus, les paramètres d’inactivité deviennent cruciaux dans les environnements de haute sécurité, où laisser un terminal déverrouillé peut avoir de graves conséquences.

Recommandations

• Testez avant de déployer: Exécutez toujours les scripts dans un environnement de test avant de les déployer à grande échelle.
• Trouvez un équilibre entre la sécurité et la facilité d’utilisation: Bien que les délais plus courts sont plus sûrs, ils ne doivent pas entraver les tâches quotidiennes.
• Restez informé: Révisez et ajustez régulièrement les délais d’inactivité en fonction des besoins de l’entreprise.

Conclusions

NinjaOne est une solution complète de surveillance et de gestion informatique, et lorsqu’elle est intégrée à des scripts comme celui-ci, permet un contrôle solide de l’environnement informatique. Que vous souhaitiez définir des délais d’inactivité ou gérer d’autres aspects de l’infrastructure informatique, NinjaOne reste un partenaire fiable pour des opérations efficaces, sécurisées et optimisées.