设置域用户帐户策略
从安全和易用考虑，普通域用户的帐户策略必须满足一下要求：
u 密码长度至少3位
u 最长使用期限60天
u 密码必须符合复杂性要求
u 密码最短使用0天
u 帐户锁定阀值7次
u 帐户锁定时间30分钟
u 复位帐户锁定计数器30分钟
任务:
u 使用默认域策略设置域用户帐户策略
u 验证帐户锁定策略
u 验证密码策略
步骤：
1. 如图3-22所示，在DCServer上，点击“开始”à“程序”à“管理工具”à“组策略管理”。
2. 如图3-23所示，在出现的组策略管理对话框，右击“Default Domain Policy”，点击“编辑”。
图 3-22 打开组策略管理 图 3-23 编辑组策略
3. 如图3-24所示，在出现的组策略管理编辑器对话框，点中计算机配置下的密码策略，可以看到默认域帐户密码策略，双击“密码长度最小值”。
4. 如图3-25所示，在出现的密码长度最小值对话框，将密码必须至少改为3，点击“确定”。
图 3-24 默认密码策略 图 3-25 指定密码最小值
5. 如图3-26所示，双击“密码最长使用期限”，在出现的密码最长使用期限对话框，输入60，点击“确定”。
6. 如图3-27所示，点中“帐户锁定策略”，在详细窗口，可以看到默认没有设置帐户锁定阀值。
图 3-26 指定密码过期时间 图 3-27 默认帐户锁定设置
7. 如图3-28所示，双击“帐户锁定阀值”，在出现的帐户锁定阀值属性对话框，指定7此无效登录之后，锁定帐户，点击“确定”。
8. 如图3-29所示，在出现的建议的数值改动对话框，点击“确定”。
图 3-28 指定无效登录次数 图 3-29 指定锁定时间
9. 如图3-30所示，点中“Kerberos策略”，在详细窗口，可以看到计算机时钟同步的最大容差为5分钟，如果域中的计算机和域控制器时钟差超过5分钟，登录失败，关闭组策略编辑器。
提示：组策略编辑好之后，一定关闭，相当于存盘，否则域中的计算机刷新组策略应用不上更改的设置。
10. 如图3-31所示，在DCServer，点击“开始”à“运行”，输入gpupdate /force 刷新组策略。以下步骤将重设域用户密码会验证新的密码策略。
图 3-30 最大时差 图 3-31域控制器刷新组策略
11. 如图3-32所示，点击“开始”à“程序”à“管理工具”，打开“Active Directory用户和计算机”。
12. 如图3-33所示，右击卫生监督局组织单元中的顾广治用户，点击“重设密码”。验证新的密码策略。
图 3-32 打开Active Directory用户和计算机 图 3-33重设用户密码
13. 如图3-34所示，在出现的重设密码对话框，输入三位数的新密码和确认密码，取消“用户下次登录时须更改密码”选项，点击“确定”。在出现的密码已被更改对话框提示对话框，点击“确定”。说明新密码策略已经生效。下面步骤将会验证帐户锁定策略。
14. 如图3-35所示，在marketPC1上，以顾广治登录，输入错误的密码，点击“确定”。
图 3-34 输入密码 图 3-35 登录
15. 如图3-36所示，在出现的密码错误对话框，点击“确定”。连续五次登录错误。
16. 如图3-36所示，第6次输入正确的密码，提示“你的帐户已经被锁定，你不能登录”对话框，点击“确定”。
图 3-36 使用错误密码登录 图 3-37 用户被锁定
17. 如图3-38所示，在DCServer上，双击顾广治用户，在出现的顾广治属性对话框，在帐户标签下。可以看到“解锁帐户”被选中，取消“解锁帐户”选定，点击“确定”。
本文转自 onesthan 51CTO博客，原文链接：http://blog.51cto.com/91xueit/1133986，如需转载请自行联系原作者
