Windows Server域环境中账号锁定策略必须在根域级GPO配置，包含账户锁定阈值（推荐3–5次）、锁定时间（推荐15–30分钟）和重置计数器（≤锁定时间，常设相同值），三者缺一不可；子OU配置无效。
在 windows server 域环境中，账号锁定策略必须通过域控制器上的组策略（gpo）统一配置，且只能在根域级别生效。不能在子组织单位（ou）单独设置，否则策略无效。
账户锁定策略的三个关键参数
策略由以下三项共同决定，缺一不可：
- 账户锁定阈值：连续输错密码的次数上限。推荐设为 3–5 次。设为 0 表示禁用锁定；超过 5 次易被暴力破解，低于 3 次则合法用户容易误锁。
- 账户锁定时间：账户被禁用的分钟数。建议设为 15–30 分钟。若设为 0，则必须由管理员手动解锁，不适用于大多数生产环境。
- 重置账户锁定计数器：失败尝试记录清零的时间窗口。该值不能大于账户锁定时间，否则策略无法触发。主流做法是与锁定时间设为相同值（如都设为 30）。
配置步骤（在域控制器上操作）
以管理员身份登录域控制器后执行：
- 打开组策略管理控制台（GPMC）（运行
gpmc.msc）； - 右键根域（例如
contoso.com），选择“链接现有 GPO”或新建一个 GPO（如命名为“Domain Account Lockout Policy”）； - 右键编辑该 GPO，导航至：
计算机配置 → 策略 → Windows 设置 → 安全设置 → 账户策略 → 账户锁定策略； - 双击三项策略，分别填入设定值（如阈值=5，锁定时间=30，重置计数器=30）；
- 关闭编辑器，在 GPMC 中右键该 GPO，选择“强制更新”或等待默认刷新（通常 90 分钟内同步），也可在客户端运行
gpupdate /force手动刷新。
验证与常见问题
策略生效后可通过以下方式确认：
- 在任意域成员机运行
gpresult /h report.html查看已应用的策略； - 使用非管理员域账户故意输错密码 5 次，观察是否被锁定（事件查看器中查看安全日志 ID 4740）；
- 注意：锁定由PDC仿真器（PDC Emulator）角色持有者判定和执行，确保该域控在线且时间同步；
- 若策略未生效，请检查是否误链接到子 OU —— 域级账户锁定策略仅对根域有效，链接到 OU 将被忽略。
进阶建议：避免误锁与增强防护
单纯依赖基础锁定策略存在局限，可配合以下措施提升实效性：
- 启用Extranet Smart Lockout（ESL）（Windows Server 2016+ AD FS 环境）：区分可信网络与外网请求，只锁定异常地理位置的爆破行为，不影响内网用户；
- 禁用或重命名默认 Administrator 账户，降低针对性攻击成功率；
- 为高权限账户启用受保护的用户（Protected Users）组，自动禁用 NTLM、弱加密，并缩短 Kerberos TGT 有效期；
- 结合 Windows Defender Credential Guard 防止凭据窃取，从源头减少密码泄露风险。
