Cuando una empresa quiere personalizar sus equipos con una imagen corporativa en la pantalla de bloqueo, lo habitual es recurrir a las Directivas de Grupo (GPO) de Active Directory. Sobre el papel parece una tarea sencilla: definir una imagen, vincular una GPO y esperar a que todos los equipos la apliquen.
Sin embargo, durante una implantación reciente nos encontramos con un problema bastante curioso. La configuración funcionaba perfectamente en Windows Server, pero era ignorada por los equipos Windows 10 Pro y Windows 11 Pro, a pesar de que la política se aplicaba correctamente.
Tras varias pruebas y comprobaciones, encontramos una solución más fiable y compatible utilizando PersonalizationCSP y almacenamiento local de la imagen.
En este artículo explicamos todo el proceso.
La configuración inicial
La primera opción utilizada fue la directiva clásica de Windows:
Configuración del equipo
→ Plantillas administrativas
→ Panel de control
→ Personalización
→ Aplicar una imagen predeterminada específica en las pantallas de bloqueo e inicio de sesiónLa imagen se encontraba en:
\\srv-dc01\netlogon\fondo.pngTras aplicar la GPO se comprobó que:
- La política se aplicaba correctamente.
- El fichero era accesible.
- La clave de registro aparecía correctamente.
- No existían errores en el Visor de Eventos.
- Los permisos eran correctos.
Todo apuntaba a que debería funcionar.
El problema
A pesar de ello, los resultados eran sorprendentes.
Funcionaba correctamente en:
- Windows Server 2016
- Windows Server 2019
- Controladores de dominio
No funcionaba en:
- Windows 10 Pro
- Windows 11 Pro
Incluso verificando que Windows generaba la siguiente clave:
HKLM\SOFTWARE\Policies\Microsoft\Windows\Personalizationcon el valor:
LockScreenImagela pantalla de bloqueo seguía mostrando las imágenes predeterminadas de Microsoft.
Comprobaciones realizadas
Antes de buscar soluciones más complejas se verificaron varios aspectos:
Acceso al archivo
Se comprobó que todos los equipos podían acceder correctamente al recurso NETLOGON.
Aplicación de la GPO
Mediante GPResult se confirmó que la directiva estaba siendo procesada.
Registro de Windows
La clave de personalización aparecía correctamente.
Spotlight
También se revisó si Windows Spotlight estaba sustituyendo la imagen configurada.
Nada de esto resolvió el problema.
La pista definitiva
La clave apareció cuando se realizaron pruebas manuales utilizando PersonalizationCSP.
Se crearon las siguientes entradas de registro:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\PersonalizationCSPcon los valores:
LockScreenImagePath
LockScreenImageUrl
LockScreenImageStatusTras reiniciar el equipo, la pantalla de bloqueo cambió inmediatamente a la imagen corporativa.
Esto demostraba que Windows 10 Pro y Windows 11 Pro estaban ignorando la política clásica de Personalization, pero sí respetaban la configuración basada en CSP.
La solución definitiva
En lugar de depender directamente de una ruta UNC, se optó por almacenar la imagen localmente en cada equipo.
Paso 1: Crear una carpeta local
1. Crear carpeta local
Ruta:
Configuración del equipo
→ Preferencias
→ Configuración de Windows
→ Carpetas
Crear una nueva carpeta:
Acción:
Crear
Ruta:
C:\Windows\FondoEquipo
Mediante Preferencias de GPO:
C:\Windows\FondoEquipoPaso 2: Copiar la imagen
2. Copiar la imagen corporativa
Ruta:
Configuración del equipo
→ Preferencias
→ Configuración de Windows
→ Archivos
Crear un nuevo archivo:
Acción:
Reemplazar
Archivo origen:
\\srv-dc01\netlogon\fondo.png
Archivo destino:
C:\Windows\FondoEquipo\fondo.png
Este paso garantiza que todos los equipos dispongan de una copia local de la imagen.
La GPO copia automáticamente:
\\srv-dc01\netlogon\fondo.pnga:
C:\Windows\FondoEquipo\fondo.pngPaso 3: Configurar PersonalizationCSP
Se crean tres valores mediante Preferencias de Registro:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\PersonalizationCSPLockScreenImagePath
C:\Windows\FondoEquipo\fondo.pngLockScreenImageUrl
C:\Windows\FondoEquipo\fondo.pngLockScreenImageStatus
13. Configuración del registro (Personalization CSP)
Ruta:
Configuración del equipo
→ Preferencias
→ Configuración de Windows
→ Registro
Crear tres elementos de Registro.
Elemento 1
Acción:
Actualizar
Subárbol:
HKEY_LOCAL_MACHINE
Ruta de la clave:
SOFTWARE\Microsoft\Windows\CurrentVersion\PersonalizationCSP
Nombre de valor:
LockScreenImagePath
Tipo de valor:
REG_SZ
Información del valor:
C:\Windows\FondoEquipo\fondo.png
Elemento 2
Acción:
Actualizar
Subárbol:
HKEY_LOCAL_MACHINE
Ruta de la clave:
SOFTWARE\Microsoft\Windows\CurrentVersion\PersonalizationCSP
Nombre de valor:
LockScreenImageUrl
Tipo de valor:
REG_SZ
Información del valor:
C:\Windows\FondoEquipo\fondo.png
Elemento 3
Acción:
Actualizar
Subárbol:
HKEY_LOCAL_MACHINE
Ruta de la clave:
SOFTWARE\Microsoft\Windows\CurrentVersion\PersonalizationCSP
Nombre de valor:
LockScreenImageStatus
Tipo de valor:
REG_DWORD
Información del valor:
1
¿Por qué esta solución es mejor?
Además de solucionar el problema de compatibilidad con Windows 10 Pro y Windows 11 Pro, aporta varias ventajas importantes.
La imagen siempre está disponible
Aunque el controlador de dominio no responda o el equipo esté desconectado de la red corporativa, la pantalla de bloqueo seguirá funcionando.
Menor dependencia de la red
Windows no necesita acceder continuamente a una ruta UNC para mostrar la imagen.
Mayor rendimiento
La carga es inmediata al estar almacenada localmente.
Administración centralizada
La imagen sigue gestionándose desde Active Directory.
Basta con reemplazar:
\\srv-dc01\netlogon\fondo.pngpor una nueva versión para que todos los equipos la reciban automáticamente mediante la siguiente actualización de directivas.
Conclusión
Aunque Microsoft sigue ofreciendo la política clásica para configurar una pantalla de bloqueo corporativa, en entornos con Windows 10 Pro y Windows 11 Pro pueden aparecer comportamientos inesperados donde la directiva se aplica correctamente pero es ignorada por el sistema operativo.
La combinación de:
- Copia local mediante Preferencias de GPO.
- Configuración mediante PersonalizationCSP.
- Desactivación de Windows Spotlight.
ha demostrado ser una solución mucho más fiable, compatible y fácil de mantener en entornos empresariales modernos.
