域账户锁定策略必须在域控制器上通过GPMC配置于“计算机配置→策略→Windows设置→安全设置→账户策略→账户锁定策略”路径，仅此位置生效；需设账户锁定阈值为5、锁定时间与重置计数器均为30分钟，并确保GPO链接至域名根节点。
确认策略作用域和权限前提
域环境下的账户锁定策略必须在域控制器上通过组策略管理控制台（gpmc）配置，且仅“计算机配置 → 策略 → windows 设置 → 安全设置 → 账户策略 → 账户锁定策略”路径下的设置才对域用户生效。本地组策略、ou级gpo或用户配置分支中的同类设置均被忽略。操作需使用具有域管理员权限的账户登录域控制器，并确保目标gpo已正确链接至域名根节点（如 dc=contoso,dc=com），否则策略不会下发。
配置三项核心参数并保持逻辑一致
账户锁定策略由三个相互依赖的参数共同决定，缺一不可，且数值关系必须满足：账户锁定时间 ≥ 重置账户锁定计数器时间。常见有效组合如下：
- 账户锁定阈值：设为 5（表示连续5次失败登录后触发锁定）。该值兼顾防暴力破解与降低误锁率；设为0则完全禁用锁定功能
- 账户锁定时间：设为 30（单位：分钟），即自动解锁等待时长；若设为0，则账户永久锁定，必须由管理员手动重置
- 重置账户锁定计数器：同样设为 30（单位：分钟），确保失败计数窗口与锁定时长匹配，避免策略失效
三者必须在同一GPO中同步配置，任意一项未设置或数值冲突（如锁定时间20分钟但重置计数器设为30分钟），策略将不生效。
验证策略是否真正应用到目标用户
策略配置后不会立即体现，需执行以下步骤确认落地效果：
- 在域控制器上运行 gpupdate /force 强制刷新组策略
- 使用 gpresult /h report.html 生成策略结果报告，检查目标用户是否命中该GPO
- 查看域控制器“安全”日志，筛选事件ID 4740（账户已被锁定）和 4771（Kerberos预身份验证失败），确认失败登录来源IP与次数统计是否符合预期
- 注意：屏幕保护程序或锁屏界面的输错默认不计入锁定计数，除非额外启用了“交互式登录：需要域控制器身份验证以对工作站进行解锁”策略
应对锁定后无法自动恢复的特殊情况
若账户被锁且未按设定时间自动解锁，常见原因包括：
- 策略被更高优先级GPO覆盖（如“默认域控制器策略”或某OU链接的强制GPO）
- 账户锁定时间设为0，此时需管理员在“Active Directory 用户和计算机”中右键用户 → “重置账户”
- 主域控制器（PDC仿真器）角色持有者未同步更新 badPwdCount 属性，可尝试在域控制器上运行 repadmin /syncall 强制复制
- 客户端缓存了旧凭据（如保存的映射驱动器、计划任务或服务登录凭据），导致后台持续发起失败认证
