域口令策略包含哪些项
域口令与锁定策略是认证安全的基线，核查项包括最小长度、复杂度要求、口令历史、最长使用期、锁定阈值、锁定时长与计数器重置窗口。查询对象不止一份：有默认域策略，也有可对特定用户或组单独生效的细粒度口令策略，只看默认策略会漏掉特权账户的实际配置。
基本信息
| 适用平台 | Windows Server AD DS；本地策略则适用于非域成员机 |
|---|---|
| 核查对象 | 默认域策略 + 细粒度口令策略（可按用户或组生效） |
| 核对方式 | 策略导出与生效范围核对，确认优先级 |
| 输出 | 策略现状、差距项与建议配置 |
典型使用场景
- 域环境安全基线与合规检查
- 特权账户单独加严策略的落地核查
- 排查用户频繁被锁定的根因
- 评估口令有效期与业务运维习惯的冲突
- 为接管环境的认证面强弱提供基线数据
导出示例（域内 PowerShell）
导出示例（域内 PowerShell）
Get-ADDefaultDomainPasswordPolicy # 默认域口令与锁定策略
Get-ADFineGrainedPasswordPolicy -Filter * | Select-Object Name, Precedence, MinPasswordLength, LockoutThreshold # 细粒度策略与优先级
Get-ADUser -Filter * -Properties msDS-ResultantPSO | Select-Object Name, msDS-ResultantPSO | Where-Object msDS-ResultantPSO # 找出实际受细粒度策略约束的账户
net accounts # 本地策略（非域成员机或本机核对）策略项与核查要点
| 策略项 | 核查要点 | 常见问题 |
|---|---|---|
| 最小长度 | 与业务定级匹配 | 仍为 8 位或更短 |
| 复杂度 | 字符类别或长度要求 | 关闭复杂度且未加长度补偿 |
| 口令历史 | 禁止复用最近若干次 | 历史次数为 0 |
| 最长使用期 | 与运维习惯协调 | 过长或永不过期 |
| 锁定阈值 | 含计数器重置窗口 | 阈值过高或窗口未配置 |
| 细粒度策略 | 特权账户是否单独加严 | 存在但不生效或被忽略 |
细粒度口令策略可以针对管理员组单独加严，这种分层设计比给全体员工设置超长口令更可行：既控制了特权账户风险，也避免运维成本上升导致绕过。
口令最短使用期参数会影响用户改回旧口令的行为，核查时不要只看长度与有效期两项，锁定相关的三个参数（阈值、时长、重置窗口）同样要逐项确认。