本地账户被锁是怎么回事
账户锁定策略设定“连续输错几次密码就锁定一段时间”。本地账户被锁的表现是登录时提示账户已锁定或稍后再试，解锁通常不需要专门命令：等锁定期结束，或者由管理员重置密码（重置密码会清零失败计数，从而达到解锁效果）。真正的难点不在解锁，而在于找出一再输错密码的源头。
基本信息
| 适用平台 | Windows 客户端与独立服务器（本地账户） |
|---|---|
| 查看策略 | net accounts 列出锁定阈值、锁定时长与计数窗口 |
| 查看状态 | net user 用户名 显示账户是否被锁定 |
| 相关事件 | 4625 登录失败、4740 账户被锁定 |
| 解锁方式 | 等待锁定期结束；或管理员重置密码（需本机管理员） |
典型使用场景
- 用户连输错密码被锁：确认锁定策略与剩余时间，避免反复触发
- 锁了又锁：找保存了旧密码的计划任务、服务、映射磁盘或手机邮件客户端
- 安全事件核查：短时间内大量 4625 说明存在爆破或旧凭据重试
- 策略评估：锁定阈值设得过低会放大运维成本，过高则削弱防护
- 域账号误判为本地锁定：需要去域控侧查来源并解锁
常用示例
常用示例
:: 查看本机账户策略（锁定阈值、时长、观察窗口）
net accounts
:: 查看某账户状态
net user ops01
:: 管理员重置密码（会清零失败计数，等同于解锁本地账户）
net user ops01 *
:: 查最近的登录失败来源（PowerShell，需管理员）
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-12)} |
Select-Object TimeCreated, @{n='User';e={$_.Properties[5].Value}}, @{n='Src';e={$_.Properties[19].Value}} -First 20
:: 查账户锁定事件
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4740} -MaxEvents 10策略项读法
| 策略项 | 含义 | 取值建议 |
|---|---|---|
| 锁定阈值 | 允许的连续失败次数 | 0 表示永不锁定；生产建议 5-10 次 |
| 锁定时长（分钟） | 锁定持续多久 | 15-30 分钟，过长会放大用户影响 |
| 重置计数窗口 | 多久无失败就清零计数 | 与锁定时长匹配，避免反复锁定 |
本地账户没有域环境里 Unlock-ADAccount 那样的现成一键解锁命令。常见做法是等待锁定期结束，或用管理员重置密码来清零失败计数——后者会同时改掉密码，需与用户确认。
记录 4625 的“来源工作站”能直接指出谁在试密码：如果是服务器自身的名称，问题多在本机服务或计划任务里存了旧密码；如果是陌生 IP，则要按安全事件处理。
排查“锁了又锁”时不要反复解锁了事。持续的错误密码来源往往是一个保存了旧凭据的移动端邮件客户端或自动登录脚本，只要源头不改，问题每过十几分钟就会复发。