System wymaga hasła mimo wyłączenia wymogu

System wymagający hasła mimo wyłączenia wymogu wskazuje na politykę GPO nadpisującą lokalne ustawienie ekranu blokady.

Dlaczego lokalne ustawienie nie zmienia zachowania systemu

Komunikat „System wymaga hasła mimo wyłączenia wymogu” zwykle oznacza, że ustawienie widoczne w lokalnej konfiguracji systemu nie jest jedynym źródłem decyzji. W systemie Windows zasady zabezpieczeń mogą być ustawiane lokalnie, ale także dostarczane przez zasady grupy. Zasada grupy może wymuszać ponowne uwierzytelnienie po zablokowaniu ekranu, nawet gdy użytkownik wyłączył podobną opcję w aplikacji Ustawienia albo w Panelu sterowania.

Najczęściej dotyczy to ustawienia wygaszacza ekranu. W Edytorze lokalnych zasad grupy można sprawdzić gałąź „Konfiguracja użytkownika”, następnie „Szablony administracyjne”, „Panel sterowania” i „Personalizacja”. Istotne są zasady „Włącz wygaszacz ekranu”, „Ochrona hasłem wygaszacza ekranu” oraz „Limit czasu wygaszacza ekranu”. Wymuszenie ochrony hasłem powoduje, że powrót z wygaszacza wymaga uwierzytelnienia niezależnie od ustawienia wybranego przez użytkownika w interfejsie graficznym.

GPO, ekran blokady i różne rodzaje logowania

Trzeba rozdzielić kilka mechanizmów, które z punktu widzenia użytkownika mogą wyglądać podobnie. Zablokowanie sesji skrótem Windows+L uruchamia ekran logowania i jest innym zdarzeniem niż uruchomienie wygaszacza ekranu. Zasada „Monituj użytkownika o podanie hasła przy wznawianiu” odnosi się do powrotu z wygaszacza. Z kolei wymagania dotyczące logowania interakcyjnego wynikają z zasad zabezpieczeń lokalnych lub domenowych i mogą wymuszać uwierzytelnienie przy rozpoczęciu sesji.

W środowisku zarządzanym przez domenę ustawienia mogą pochodzić z obiektu zasad grupy przypisanego do użytkownika albo komputera. Ich wynik można sprawdzić poleceniem gpresult /h raport-gpo.html, które tworzy raport zastosowanych zasad w formacie HTML. Przydatne jest również gpresult /r, wyświetlające podsumowanie zasad w wierszu polecenia. Polecenie gpupdate /force wymusza ponowne przetworzenie zasad, ale nie usuwa ich i nie zastępuje konfiguracji administracyjnej ustawieniem lokalnym.

Jak odróżnić wymóg hasła od problemu z metodą uwierzytelnienia

Jeżeli zasady wygaszacza nie wskazują przyczyny, należy sprawdzić, czy problem nie dotyczy sposobu logowania. Windows może korzystać z hasła konta, kodu PIN funkcji Windows Hello, klucza zabezpieczeń albo innej skonfigurowanej metody. Wyłączenie jednej opcji w ustawieniach logowania nie oznacza automatycznego wyłączenia wszystkich mechanizmów ochrony sesji. Szczególnej uwagi wymaga także konfiguracja „Wymagaj logowania” w ustawieniach systemu Windows, ponieważ jej działanie może zależeć od trybu uśpienia, obecności użytkownika i zastosowanych zasad.

Warto porównać ustawienia dla właściwego konta użytkownika oraz właściwego komputera. Zasady zapisane w „Konfiguracji użytkownika” mogą działać tylko dla określonego profilu, natomiast zasady w „Konfiguracji komputera” dotyczą urządzenia i mogą obowiązywać wszystkie konta. Należy również sprawdzić, czy system nie jest połączony z organizacją, zarządzany przez usługę MDM albo objęty skryptem logowania. W takich przypadkach lokalna zmiana może być chwilowa i zostać ponownie nadpisana przy następnym odświeżeniu zasad.

Postępowanie serwisowe przy wymuszonym uwierzytelnieniu

Prawidłowa diagnostyka powinna rozpocząć się od ustalenia momentu, w którym pojawia się żądanie hasła: po wygaszeniu ekranu, po uśpieniu, po ręcznym zablokowaniu sesji czy po ponownym uruchomieniu komputera. Następnie porównuje się ustawienia lokalne z raportem gpresult i sprawdza stan zasad dotyczących wygaszacza, blokady oraz logowania. Samo usunięcie wpisu rejestru lub wyłączenie usługi zabezpieczeń nie jest właściwą metodą, ponieważ może uszkodzić spójność konfiguracji i nie rozwiązać przyczyny znajdującej się w zasadach grupy.

Jeżeli komputer jest prywatny, można przeanalizować lokalne zasady grupy i ustawienia konta. Jeżeli urządzenie należy do organizacji, zmianę wymuszanej polityki powinien wykonać administrator zarządzający domeną lub systemem zarządzania urządzeniami. Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów i komputerów PC, w tym diagnostykę problemów z konfiguracją systemu Windows, ekranem blokady oraz zasadami wpływającymi na codzienne korzystanie z komputera.