必须通过组策略禁用“更改密码”入口并移除底层权限：一、用gpedit.msc启用密码复杂性要求和隐藏用户名；二、用secpol.msc或GPO清除Users组在“更改自己的密码”权限中的条目；三、在用户配置中禁用Ctrl+Alt+Del改密选项并阻止命令提示符访问。
要让普通员工无法在Windows系统中修改自己的登录密码，必须通过组策略禁用“更改密码”功能入口并移除其对应权限，否则用户仍可通过Ctrl+Alt+Del、设置应用或命令行（如net user）完成操作。
禁用用户界面中的密码修改入口
这一步直接屏蔽最常用的图形化修改路径，包括快捷键菜单和设置页面：
1. 以管理员身份运行 gpedit.msc 打开本地组策略编辑器（仅限Windows专业版/企业版/教育版）；
2. 导航至：计算机配置 → Windows 设置 → 安全设置 → 账户策略 → 密码策略；
3. 双击“密码必须符合复杂性要求”，设为【已启用】——这不是为了强制复杂度，而是为后续权限控制铺路：若该策略被禁用，部分系统组件会跳过密码验证环节，导致其他限制失效；
4. 返回左侧树形结构，依次展开：计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 安全选项；
5. 找到并双击“交互式登录: 不显示最后的用户名”，设为【已启用】——防止他人通过登录界面猜测账户名，间接降低密码重置成功率。
移除标准用户对密码修改的底层权限
仅屏蔽界面不够，必须从权限层切断实际执行能力。标准用户默认拥有“更改自己的密码”权限，需手动剥离：
方法一：通过本地安全策略直接编辑
1. 运行 secpol.msc 打开本地安全策略；
2. 展开“本地策略”→“用户权限分配”；
3. 在右侧列表中双击“更改自己的密码”；
AI 领域系统学习体系。管理知识图谱、深度学习笔记、实战复盘和关联网络。触发场景：学习计划、知识图谱更新、深度研究某个 AI 主题、实战复盘总结、调研后沉淀知识、每周学习回顾。当用户说'学了什么'、'总结一下'、'沉淀知识'、'复盘'、'更新图谱'、'深入研究'、'写笔记'、'学习回顾'、'review what...
4. 清空所有已列出的组（如Users、Everyone），只保留Administrators——这是唯一允许改密的组；
5. 点击“确定”保存，无需重启，下次用户登录即生效。
方法二：使用组策略批量下发（适用于域环境）
1. 在域控制器上打开组策略管理控制台（GPMC）；
2. 编辑目标OU关联的GPO，导航至：计算机配置 → 策略 → Windows 设置 → 安全设置 → 本地策略 → 用户权限分配；
3. 同样双击“更改自己的密码”，删除Users组条目；
注意：此操作不可逆，一旦清空且未保留管理员组，将导致所有非管理员账户永久无法改密，务必提前确认备份管理员凭证。
封堵命令行与快捷方式绕过路径
员工可能尝试用CMD、PowerShell或netplwiz绕过图形界面，必须同步拦截：
1. 回到 gpedit.msc，导航至：用户配置 → 管理模板 → 系统 → Ctrl+Alt+Del 选项；
2. 启用“删除任务管理器”和“删除更改密码”——这两项会从安全选项菜单中彻底隐藏对应按钮；
3. 再次进入：用户配置 → 管理模板 → 系统，启用“阻止访问命令提示符”，并设为【仅允许批处理文件运行】；
4. 最后，在同一路径下启用“防止从我的电脑窗口运行命令提示符”，避免用户通过地址栏执行cmd.exe。
