必须通过组策略配置密码策略：本地用gpedit.msc，域环境用gpmc.msc或PowerShell，高权限账户可用FGPP实现差异化策略。
如果您需要在Windows系统中强制执行高强度的密码标准并控制密码的有效期限，则必须通过组策略对密码策略进行精确配置。以下是实现该目标的多种操作路径：
一、通过组策略编辑器配置本地计算机密码策略
此方法适用于Windows专业版、企业版或教育版，直接修改本机的密码策略设置，影响所有本地用户账户。策略配置后立即写入安全数据库，无需重启即可部分生效（部分策略如密码最长使用期限需下次密码更改时体现）。
1、按下 Win + R 组合键，输入 gpedit.msc，按回车打开“本地组策略编辑器”。
2、在左侧窗格中依次展开：计算机配置 → Windows 设置 → 安全设置 → 账户策略 → 密码策略。
3、在右侧窗格中，双击以下各项逐一配置：
4、双击 “密码必须符合复杂性要求”，勾选“已启用”，点击“确定”。
5、双击 “最小密码长度”，将数值设为 8 或更高（如12），点击“确定”。
6、双击 “密码最长使用期限”，输入天数（如 90），点击“确定”。
7、双击 “密码最短使用期限”，设为 1 天以防止即时重置绕过周期限制，点击“确定”。
8、双击 “强制密码历史”，输入数字（如 5），确保用户无法重复使用最近5次密码，点击“确定”。
二、通过组策略管理控制台（GPMC）配置域环境默认密码策略
此方法专用于Active Directory域环境，修改“默认域策略”GPO后，策略将自动应用至整个域内所有用户对象，适用于集中化安全管理场景。策略刷新周期默认为每90分钟一次，也可手动强制更新。
1、在域控制器上，按下 Win + R，输入 gpmc.msc，按回车启动“组策略管理”。
2、在左侧面板中展开当前域名称，定位到 “组策略对象” 文件夹。
3、右键单击 “默认域策略”，选择 “编辑”。
4、在“组策略管理编辑器”中，导航至：计算机配置 → 策略 → Windows 设置 → 安全设置 → 账户策略 → 密码策略。
5、对以下策略项执行双击修改：“密码必须符合复杂性要求”（启用）、“最小密码长度”（设为8）、“密码最长使用期限”（设为90）、“密码最短使用期限”（设为1）、“强制密码历史”（设为24）。
6、全部配置完成后关闭编辑器窗口，无需手动保存——更改已实时写入GPO。
三、通过PowerShell命令行批量配置域密码策略
此方法适用于需脚本化部署、远程批量管理或集成自动化流程的场景，使用AD PowerShell模块直接调用Active Directory接口，避免图形界面依赖，支持参数化与日志记录。
1、以管理员身份运行 Windows PowerShell 或 Windows Terminal（管理员）。
2、执行以下命令导入AD模块：Import-Module ActiveDirectory。
3、运行命令设置密码最长期限为90天、最短期限为1天、最小长度为8、启用复杂性要求：Set-ADDefaultDomainPasswordPolicy -Identity "contoso.com" -MaxPasswordAge 90.00:00:00 -MinPasswordAge 1.00:00:00 -MinPasswordLength 8 -PasswordComplexityEnabled $true -PasswordHistoryCount 24（请将 contoso.com 替换为实际域名）。
4、验证配置是否生效：Get-ADDefaultDomainPasswordPolicy | fl *，检查输出中各属性值是否匹配预期设置。
四、配置精细密码策略（Fine-Grained Password Policy, FGPP）
此方法突破默认域策略的全局限制，允许为特定用户或全局安全组单独定义密码策略，例如为管理员账户设定更严苛的90天有效期与12位最小长度，而普通用户维持30天与8位。FGPP仅适用于Windows Server 2008 R2及以上版本的域功能级别。
1、以域管理员身份登录域控制器，启动 Windows PowerShell（管理员）。
2、执行命令创建新精细密码策略：New-ADFineGrainedPasswordPolicy -Name "Admins-Pwd-Policy" -Precedence 10 -MinPasswordLength 12 -MaxPasswordAge 90.00:00:00 -MinPasswordAge 1.00:00:00 -PasswordComplexityEnabled $true -PasswordHistoryCount 24 -DisplayName "Administrators Password Policy"。
3、创建一个全局安全组（如 GRP_Admins_PwdPolicy），并将目标管理员账户加入该组。
4、将策略绑定至该组：Add-ADFineGrainedPasswordPolicySubject -Identity "Admins-Pwd-Policy" -Subjects "GRP_Admins_PwdPolicy"。
5、使用命令验证绑定状态：Get-ADFineGrainedPasswordPolicy -Identity "Admins-Pwd-Policy" | Get-ADFineGrainedPasswordPolicySubject。
