Windows 密码与锁定策略
Windows 的账户策略包含密码长度、最长使用期、历史记录与复杂度，账户锁定策略包含失败阈值、锁定持续时间与计数器重置窗口，两者共同满足等保身份鉴别条款里「鉴别信息有复杂度并定期更换」和「登录失败处理」的要求。整改时可用 net accounts 在单机快速配置，域环境则统一在组策略管理（GPMC）的默认域策略下发，避免逐台维护。
基本信息
| 适用平台 | Windows Server 2016/2019/2022、Windows 10/11 |
|---|---|
| 配置工具 | net accounts、gpedit.msc、secpol.msc、GPMC |
| 生效优先 | 域成员机以域策略为准，本地策略被覆盖 |
| 常用取值 | 长度 ≥12、最长使用期 90 天、历史 5 次 |
| 锁定取值 | 阈值 5 次、持续 15 分钟、窗口 15 分钟 |
| 留痕方式 | secedit 导出安全策略文件归档 |
典型使用场景
- 单机或工作组环境快速落地密码与锁定要求
- 域环境统一下发前的阈值试算与兼容性评估
- 测评现场演示策略已生效（展示 net accounts 输出）
- 排查「锁定了但锁多久、计数器何时重置」类咨询
- 把现有策略导出成基线文件，纳入配置管理与变更记录
命令配置
命令配置
# 密码策略：最短 12 位、最长 90 天、最短 1 天、历史 5 次
net accounts /minpwlen:12 /maxpwage:90 /minpwage:1 /uniquepw:5
# 锁定策略：连续失败 5 次锁定 15 分钟，计数器窗口 15 分钟
net accounts /lockoutthreshold:5 /lockoutduration:15 /lockoutwindow:15
# 复核当前生效值
net accounts组策略与基线导出
组策略与基线导出
# 图形路径：计算机配置 - Windows 设置 - 安全设置 - 账户策略
gpedit.msc
# 导出当前安全策略，用于比对与归档
secedit /export /cfg C:\sec-pol.txt关键参数读法
| 参数 | 含义 | 建议取值 |
|---|---|---|
| /minpwlen | 密码最小长度 | 12 位及以上 |
| /maxpwage | 密码最长使用期（天） | 90 天或按要求 |
| /uniquepw | 记住的历史密码个数 | 5 |
| /lockoutthreshold | 连续失败几次锁定 | 5 |
| /lockoutduration | 锁定持续分钟数 | 15 |
| /lockoutwindow | 失败计数器重置窗口 | 15 分钟 |
域环境优先在默认域策略配置；域控制器的策略在「域控制器」OU 上单独验证，否则容易出现服务器生效、域控没生效的情况。
在域成员机上改本地策略后，net accounts 可能显示已改而实际被域策略覆盖，判断整改是否完成要看最终生效值。