域用户修改密码提示“旧密码不正确”通常源于凭据未更新、Kerberos票据未清除、DC间复制延迟、SID冲突或密码策略拦截，需依次排查klist purge、repadmin同步状态、SID唯一性及gpresult策略生效情况。

域用户修改密码时提示“旧密码不正确”，通常不是输错了，而是身份验证环节出现了偏差。重点要区分：是用户当前会话凭据未更新、缓存冲突，还是后端验证路径异常（比如Kerberos票据过期、密码同步延迟或SID混淆）。下面分几种典型场景说明排查要点。

确认当前登录会话是否使用最新凭据

用户可能刚改过密码，但本地会话仍持旧票据，导致系统用旧凭据尝试验证新密码——自然报错。

• 在客户端执行 cmd → klist purge 清除 Kerberos 票据，再重新输入新旧密码尝试修改
• 若使用远程桌面登录，退出并重新连接，避免复用旧会话上下文
• 检查是否启用了“凭据管理器”中保存的旧密码自动填充，手动清除相关条目

检查域控制器间密码同步状态

AD环境中密码写入默认只发生在PDC模拟器上，其他DC需等待复制完成。若用户在非PDC模拟器的DC上发起修改，而该DC尚未收到新密码哈希，就会拒绝验证。

• 在客户端运行 nltest /dsgetdc:域名，确认当前联系的是哪台DC
• 登录该DC，用 repadmin /showrepl 查看复制状态，重点关注“密码更改”相关对象是否已同步
• 临时强制让密码写入PDC模拟器：在域用户属性→“帐户”选项卡→勾选“密码永不过期”，再取消勾选，可触发一次强制同步

排查SID重复或计算机对象异常

当两台机器SID相同（常见于VM克隆未运行sysprep），域控制器可能将用户登录请求路由到错误主机，导致密码验证走错路径。

• 在出问题的客户端以管理员身份运行 whoami /user，记录SID主干（S-1-5-21-xxx部分）
• 对比域内其他同源机器的SID，若一致，说明存在SID冲突
• 登录域控制器，在“Active Directory 用户和计算机”中启用“高级功能”，查看该计算机对象是否存在多个同名但不同SID的残留项

验证组策略与密码策略一致性

虽然提示是“旧密码不正确”，但有时实际是密码策略拦截了整个修改流程（例如密码历史限制、最小长度等），前端误报为旧密码错误。

• 运行 gpresult /h report.html 生成组策略结果报告，重点查看“密码策略”是否被继承且生效
• 检查是否启用了“强制密码历史”策略，用户试图重复使用近期用过的密码，系统可能模糊提示为旧密码校验失败
• 确认客户端是否执行了 gpupdate /force，避免本地策略缓存滞后