域级口令策略在哪里生效
在 Active Directory 环境里，域账号的口令策略不在每台机器上，而是集中在默认域策略（Default Domain Policy）里：最小长度、口令历史、最长与最短使用期限、复杂度开关、锁定阈值，都是测评必查项。查看要用 Get-ADDefaultDomainPasswordPolicy 读实际生效值，而不是看本地安全策略——本地策略管不到域账号。
基本信息
| 适用平台 | Active Directory 域（Windows Server 域控） |
|---|---|
| 生效位置 | 默认域策略的计算机配置 → 策略 → Windows 设置 → 安全设置 → 账户策略 |
| 必查项 | MinPasswordLength、PasswordHistoryCount、MaxPasswordAge、ComplexityEnabled、LockoutThreshold |
| 基线参考 | 长度 14 及以上、历史 24 及以上、有合理有效期与锁定阈值 |
| 注意 | 锁定阈值与锁定持续时间同时生效 |
典型使用场景
- 合规核查：等保与安全测评对域口令策略有明确要求
- 加固前摸底：确认当前实际生效值，避免按想象整改
- 分级授权：用细粒度口令策略（PSO）给管理员账号单独加严
- 事故复盘：口令喷射成功后检查策略是否过于宽松
- 变更评审：调整口令策略前评估对用户体验与运维的影响
查看与核对
查看与核对
Get-ADDefaultDomainPasswordPolicy | Select-Object MinPasswordLength, PasswordHistoryCount, MaxPasswordAge, MinPasswordAge, ComplexityEnabled, LockoutThreshold, LockoutDuration
Get-ADFineGrainedPasswordPolicy -Filter * | Select-Object Name, Precedence, MinPasswordLength, LockoutThreshold
# 查看哪些策略应用到具体对象：
Get-ADUser -Identity admin1 -Properties msDS-ResultantPSO | Select-Object Name, msDS-ResultantPSO
# 本地策略与域策略分开确认（本地策略不影响域账号）：
secedit /export /cfg C:\evidence\secpol.cfg /areas SECURITYPOLICY关键项读法
| 策略项 | 含义 | 异常表现 |
|---|---|---|
| MinPasswordLength | 口令最小长度 | 为 0 或过小=弱口令风险高 |
| PasswordHistoryCount | 不可重复的历史口令数 | 过小导致新旧口令轮换使用 |
| MaxPasswordAge | 口令最长使用期限 | 为 0 表示永不过期，与多数测评要求冲突 |
| ComplexityEnabled | 复杂度要求是否开启 | 关闭时口令可预测性显著上升 |
| LockoutThreshold | 失败几次锁定 | 为 0 表示从不锁定，通常直接判不合规 |
不建议直接大改默认域策略（可能触发影响范围不可预期的行为变化）：新版环境用 PSO 给管理员等高权限账号单独加严。
落地要点
- 改策略前先导出当前值并留档，作为变更前后对照
- 口令策略要与锁定策略配套：只加长口令不做锁定，仍可被在线爆破
- 面向用户提前通告，避免大范围提示口令过期引发的支持压力
- PSO 优先级要核实：多个策略命中时按优先级与粒度生效
- 把域策略核查结果写进年度安全报告，作为身份鉴别项的证据
修改默认域策略属于高影响变更：先在测试域验证策略组合效果，尤其是锁定策略与口令过期时间互相叠加时。