新创建用户首次登录时必须修改密码，需在AD中勾选“用户必须在下次登录时更改密码”或用dsmod命令批量设置，注意初始密码有效、禁用“密码永不过期”、匹配域密码策略及云同步延迟。

在域环境中，让新创建的用户首次登录时必须修改密码，是保障账户安全的基础操作。这个设置本质是给用户账户打上一个“强制改密”标记，系统会在用户用初始密码成功认证后，立即跳转到密码更改界面。

通过图形界面创建用户时直接勾选

这是最常用、最直观的方式，适合单个或少量用户配置：

• 打开“Active Directory 用户和计算机”，定位到目标组织单位（如“财务部”）
• 右键 → “新建” → “用户”，按向导填写姓名、登录名等基本信息
• 在设置密码的页面中，输入初始密码并勾选“用户必须在下次登录时更改密码”
• 完成创建后，该用户首次使用此密码登录域，就会被强制要求设置新密码

对已有用户批量启用强制改密

适用于已存在大量用户、需统一收紧策略的场景，依赖命令行工具 dsmod：

windows-shell

Windows 命令行编码与兼容规范。涵盖 GBK/UTF-8 编码、PowerShell/pwsh 互操作、Python/Node.js、Git 配置及代码生成规则。适用于 Windows 10/11 + MSYS2/Git Bash 环境下的所有命令行操作。

下载

• 以域管理员身份运行命令提示符
• 执行命令（示例针对IT部门OU）：
  dsquery user -limit 0 "OU=IT,OU=sssss,DC=aaaaaa,DC=abcd,DC=com" | dsmod user -mustchpwd yes
• 该命令会遍历指定OU下所有用户，并为每人设置“下次登录必须改密”标志
• 注意：用户当前密码必须有效，且不能同时启用“密码永不过期”或“用户无法更改密码”选项，否则冲突

关键细节与注意事项

这个功能看似简单，但实际部署中容易忽略几个关键点：

• 初始密码必须明确分配：如果创建用户时未设密码，或设为空密码，用户将无法完成首次登录流程
• 不能与“密码永不过期”共存：两者策略逻辑冲突，AD会拒绝同时启用；若需长期有效，应先取消“永不过期”，再启用强制改密
• 密码策略需匹配：域级密码策略（如最小长度、复杂度）会影响用户能否顺利通过首次改密，建议提前检查“Default Domain Policy”中的账户策略
• 云同步环境需等待：若使用 Microsoft Entra ID（原 Azure AD）并启用密码哈希同步，本地重置密码后需等待至少2分钟再让用户登录，避免出现“服务器需要一点时间才能赶上”的提示