Esse problema é resolvido desativando o recurso Fast-User-Switching . talvez pareça estranho e não relacionado, mas há realmente uma razão!:
Quando o Fast-User-Switiching está ativado, outros usuários precisam Lock deste usuário para iniciar uma nova sessão e efetuar login. Portanto, é inútil negar Lock permission enquanto FUS estiver ativado.
Assim, quem quiser desativar o Lock também esquecerá o FUS e o desativará também.