必须通过域控制器上的GPMC修改“默认域策略”或新建GPO链接到OU来统一设置域账户密码与锁定策略，本地安全策略对域账户无效；需以域管理员身份操作，配置密码复杂性、最小长度、最长使用期限等5项密码策略及帐户锁定阈值等3项锁定策略。
要在Windows域环境中为域账户统一设置密码强度、账户锁定等安全策略，必须通过域控制器上的组策略管理控制台（GPMC）或组策略编辑器（gpedit.msc）修改“默认域策略”或新建GPO并链接到目标OU，本地安全策略（secpol.msc）对域账户完全无效。
确认当前设备角色并登录域控制器
首先确保你正在操作的是域控制器（DC），而非普通域成员机。在开始菜单搜索栏输入 dsa.msc 并回车——若能打开“Active Directory 用户和计算机”，说明已具备域管理界面访问能力；若提示“找不到指定的模块”，则不是域控制器，无法直接配置域级策略。
使用具有 【域管理员】 权限的账户登录该域控制器。普通域用户或本地管理员无权修改“默认域策略”GPO中的安全设置。
打开组策略管理控制台（GPMC）
按下 Win + R，输入 gpmc.msc，按回车。这是管理域策略的权威工具，比 gpedit.msc 更适合多域、多OU环境。
如果系统提示“此程序未安装”，说明当前Windows版本（如Windows 10/11专业版）未启用“组策略管理”功能。需先以管理员身份运行PowerShell，执行：Add-WindowsCapability -Online -Name "Rsat.GroupPolicy.Management.Tools~~~~0.0.1.0"，安装完成后重启即可。
定位并编辑默认域策略
在GPMC左侧树形结构中，展开你的域名 → 展开“组策略对象” → 右键单击 默认域策略 → 选择“编辑”。
注意：这不是唯一选项，但它是影响全域能力最直接的策略对象。除非你已为特定OU创建了专用GPO，否则不要跳过这一步——修改其他GPO可能不会应用到所有域账户。
导航路径为：计算机配置 → 策略 → Windows 设置 → 安全设置 → 帐户策略。
配置域账户密码策略
在“帐户策略”下，双击“密码策略”，进入设置面板。以下5项必须逐项核对并按需调整：
① 【密码必须符合复杂性要求】：勾选此项。它强制密码包含大写字母、小写字母、数字、特殊符号四类中的至少三类，防止用户设置“Admin123”之类弱口令。不启用将大幅降低域整体安全性。
② 【密码长度最小值】：建议设为8位以上。低于6位的密码极易被暴力破解，尤其在域控制器日志开启审核后，攻击者可利用离线字典反复尝试。
③ 密码最长使用期限：保持默认30天或设为14–90天之间。设为0表示永不过期，【这会显著增加域账户凭证泄露风险】，不推荐。
④ 密码最短使用期限：设为1天。防止用户修改密码后立刻改回旧密码绕过历史记录限制。
⑤ 强制密码历史：设为24次。确保用户不能循环使用最近24次用过的密码。
配置域账户锁定策略
仍在同一位置（“帐户策略”节点下），双击“帐户锁定策略”。关键三项如下：
方法一：启用基础防护
- 帐户锁定阈值：设为 5 次无效登录尝试；
- 帐户锁定时间：设为 30 分钟；
- 复位帐户锁定计数器：设为 30 分钟。
这组配置可有效阻断自动化暴力破解，同时避免误锁正常用户。
方法二：严格场景增强
若为财务、HR等高敏感OU，可将“帐户锁定阈值”降至3次，并启用“帐户锁定时间”为永久（即不自动解锁），要求用户联系IT人工重置。但需同步部署自助密码重置（SSPR）服务，否则将引发大量工单。
立即强制策略刷新（可选）
策略保存后，默认需等待90分钟（加随机偏移）才会推送到所有域成员。如需即时生效，可在任意域成员机上以管理员身份运行：gpupdate /force。
注意：该命令仅刷新客户端策略缓存，不影响GPO本身配置。真正起效仍依赖域控制器SYSVOL复制状态，若DC间复制异常，部分机器可能延迟应用。
