域用户账号锁定策略必须在域控制器的组策略中配置，本地设置或net accounts命令无效；LockoutThreshold设3次适用于高权限账户，5次适合普通用户，禁用（0）或设1次、10次以上均不推荐；自动解锁时间由LockoutDuration决定，建议设15或30分钟；策略须配置在域根OU链接的GPO中，路径为计算机配置→Windows设置→安全设置→账户锁定策略；修改后需gpupdate /force并等待策略刷新，验证应使用gpresult或rsop.msc而非secpol.msc。
域用户账号锁定策略必须在域控制器的组策略中配置，本地设置或net accounts命令对域账户完全无效。
账户锁定阈值设多少才不误锁又防爆破
该值由LockoutThreshold控制，单位是“错误密码次数”，不是时间。默认为0（禁用），生产环境绝不能保留此状态。
- 3次：适用于高权限账户（如
Domain Admins成员）、财务/审计系统——Caps Lock误触或远程桌面缓存旧密码仍可能触发，但可接受 - 5次：终端用户多、密码复杂度低、存在共享账号的场景更稳妥；10次及以上基本失去防护意义，尤其当密码长度≤6或无大小写+数字要求时
- 绝对避免设为1次：键盘连按、输入法切换、RDP重连自动填错都会导致秒锁，运维支持量激增
自动解锁时间必须和LockoutDuration一致
很多人混淆LockoutDuration（账户锁定时长）与“账户锁定持续时间”（ResetLockoutCountAt相关参数）。真正决定“多久后自动恢复登录”的只有LockoutDuration。
- 设为
15或30（单位：分钟）：覆盖主流爆破工具的单轮尝试窗口，普通用户等待可接受 - 设为
0：账户永不自动解锁，必须人工干预——仅建议用于特权账户，且需配套短信告警+自助解锁入口，否则会卡住关键业务 - 慎用“账户锁定持续时间 + 重置计数器”组合：若二者数值不同（比如
LockoutDuration=15但ResetLockoutCountAt=30），逻辑冲突，Windows行为不可预测
GPO路径与生效前提必须核对清楚
策略只在域控制器上、链接到域根OU的GPO中生效，本地安全策略或子OU单独配的GPO不会应用到域账户登录过程。
- 正确路径：
计算机配置 → 策略 → Windows设置 → 安全设置 → 账户策略 → 账户锁定策略 - 修改后必须执行
gpupdate /force，且需等待至少一次组策略刷新周期（默认90分钟+随机偏移）；重启域控制器或强制同步repadmin /syncall可加速 - 多个GPO冲突时，以“最后应用的GPO”为准，不是最靠近用户的OU——检查GPO链接顺序和是否启用“强制继承”
验证是否生效不能只看本地secpol.msc
secpol.msc打开的是本机安全策略，对域用户登录无影响；net accounts查到的也是本地账户策略，域环境下显示的Lockout duration字段始终为0或无效值。
- 正确验证方式：在域成员机上运行
gpresult /h report.html，打开HTML报告查看“已应用的组策略对象”中对应GPO的“账户锁定策略”节 - 或用
nltest /dsgetdc:yourdomain.com确认当前登录的DC，再在该DC上用rsop.msc实时查看结果 - 实际测试建议用非关键账户：连续输错密码3次，观察
eventvwr.msc中Security日志ID 4740事件是否生成，以及是否在设定分钟后自动解除锁定
最容易被忽略的是策略继承关系和刷新延迟——改完GPO立刻去测试，90%的情况会以为没生效，其实是还没刷下来。别急着重做，先gpresult看报告，再查DC上的Security日志ID 4740和4742确认真实状态。
