Soluciones Diversas
Pantalla de bloqueo Windows 11 por GPO
Configuración de una Imagen Corporativa para la Pantalla de Bloqueo en Windows 11 Pro mediante Active Directory
Objetivo
Este procedimiento permite configurar una imagen corporativa para la pantalla de bloqueo de todos los equipos Windows 11 Pro unidos al dominio utilizando únicamente Active Directory Group Policy Preferences, sin necesidad de Microsoft Intune, Windows Enterprise, scripts de inicio o tareas programadas.
La solución fue validada en:
-
Windows Server con Active Directory
-
Windows 11 Pro 25H2
-
Group Policy Preferences (Files + Registry)
Arquitectura de la solución
La solución utiliza únicamente dos componentes de la GPO:
-
Files
-
Copia automáticamente la imagen desde NETLOGON hacia cada equipo.
-
-
Registry
-
Configura el proveedor de personalización (PersonalizationCSP) utilizado por Windows 11 para establecer la imagen de bloqueo.
-
No utiliza:
-
Startup Scripts
-
Logon Scripts
-
Scheduled Tasks
-
PowerShell
-
Intune
-
Windows Enterprise
Requisitos
-
Active Directory funcional.
-
Equipos unidos al dominio.
-
Windows 11 Pro 25H2.
-
Permisos para modificar Group Policy.
-
Imagen corporativa en formato PNG o JPG.
Paso 1. Crear la carpeta compartida
En el controlador de dominio crear la siguiente carpeta dentro de NETLOGON.
\\alfiolab.local\NETLOGON\LockScreen
Copiar dentro la imagen corporativa.
ALCE-LockScreen.png
La estructura quedará de la siguiente manera.
\\alfiolab.local
└── NETLOGON
└── LockScreen
└── ALCE-LockScreen.png
Paso 2. Crear la GPO
Abrir:
Group Policy Management
Crear una nueva GPO.
Nombre recomendado:
LockScreen Corporativo
Vincular la GPO a la OU donde se encuentran los equipos.
Paso 3. Copiar automáticamente la imagen
Ir a:
Computer Configuration
Preferences
Windows Settings
Files
Crear un nuevo File.
Configuración
Action
Replace
Source file
\\alfiolab.local\NETLOGON\LockScreen\ALCE-LockScreen.png
Destination file
C:\Windows\Web\Screen\ALCE-LockScreen.png
Guardar la configuración.
Con esta preferencia la imagen será copiada automáticamente a cada estación de trabajo.
Paso 4. Configurar el Registro
Ir a:
Computer Configuration
Preferences
Windows Settings
Registry
Crear los siguientes cuatro elementos.
Registry Item 1
Action
Update
Hive
HKEY_LOCAL_MACHINE
Key Path
SOFTWARE\Microsoft\Windows\CurrentVersion\PersonalizationCSP
Value Name
LockScreenImagePath
Value Type
REG_SZ
Value Data
C:\Windows\Web\Screen\ALCE-LockScreen.png
Registry Item 2
Action
Update
Hive
HKEY_LOCAL_MACHINE
Key Path
SOFTWARE\Microsoft\Windows\CurrentVersion\PersonalizationCSP
Value Name
LockScreenImageUrl
Value Type
REG_SZ
Value Data
C:\Windows\Web\Screen\ALCE-LockScreen.png
Registry Item 3
Action
Update
Hive
HKEY_LOCAL_MACHINE
Key Path
SOFTWARE\Microsoft\Windows\CurrentVersion\PersonalizationCSP
Value Name
LockScreenImageStatus
Value Type
REG_DWORD
Base
Decimal
Value Data
1
Registry Item 4
Action
Update
Hive
HKEY_LOCAL_MACHINE
Key Path
SOFTWARE\Policies\Microsoft\Windows\CloudContent
Value Name
DisableWindowsSpotlightFeatures
Value Type
REG_DWORD
Base
Decimal
Value Data
1
Paso 5. Actualizar la política
En una estación ejecutar:
gpupdate /force
No es necesario reiniciar el equipo.
Paso 6. Verificar la copia de la imagen
Comprobar que exista el siguiente archivo.
C:\Windows\Web\Screen\ALCE-LockScreen.png
Si el archivo existe, la preferencia Files se aplicó correctamente.
Paso 7. Verificar el Registro
Ejecutar:
reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\PersonalizationCSP"
Debe mostrar los siguientes valores.
LockScreenImagePath
LockScreenImageUrl
LockScreenImageStatus
Posteriormente verificar:
reg query "HKLM\SOFTWARE\Policies\Microsoft\Windows\CloudContent"
Debe existir el siguiente valor.
DisableWindowsSpotlightFeatures
Paso 8. Validar la aplicación de la GPO
Ejecutar:
gpresult /r /scope computer
Debe aparecer la GPO.
LockScreen Corporativo
Paso 9. Probar la pantalla de bloqueo
Presionar:
Windows + L
La pantalla de bloqueo debe mostrar la imagen corporativa configurada.
Actualización de la imagen corporativa
Cuando sea necesario cambiar la imagen únicamente será necesario reemplazar el archivo ubicado en:
\\alfiolab.local\NETLOGON\LockScreen\ALCE-LockScreen.png
Manteniendo exactamente el mismo nombre.
En la siguiente actualización de políticas:
gpupdate /force
o durante el procesamiento automático de Group Policy, la nueva imagen será distribuida automáticamente a todos los equipos del dominio.
Validación realizada
Esta solución fue probada satisfactoriamente en múltiples equipos Windows 11 Pro 25H2 unidos al dominio.
Se confirmó el funcionamiento de:
-
Copia automática de la imagen mediante Group Policy Preferences.
-
Configuración automática del registro mediante Group Policy Preferences.
-
Aplicación inmediata del nuevo fondo de bloqueo.
-
Actualización automática al modificar la imagen almacenada en NETLOGON.
Solución de problemas
La imagen no se copia
Verificar que el archivo exista en:
\\alfiolab.local\NETLOGON\LockScreen\ALCE-LockScreen.png
y que el equipo tenga permisos de lectura sobre NETLOGON.
La pantalla continúa mostrando imágenes aleatorias
Verificar la existencia de los valores:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\PersonalizationCSP
y
HKLM\SOFTWARE\Policies\Microsoft\Windows\CloudContent
La GPO no aplica
Ejecutar:
gpresult /r /scope computer
y confirmar que la GPO LockScreen Corporativo aparezca entre las políticas aplicadas.
Conclusión
En Windows 11 Pro 25H2 la política clásica LockScreenImage ya no resulta suficiente para forzar una imagen corporativa de bloqueo.
La implementación mediante Group Policy Preferences (Files + Registry) utilizando PersonalizationCSP constituye una solución sencilla, estable y totalmente administrable desde Active Directory, sin requerir Microsoft Intune, Windows Enterprise, scripts o tareas programadas.