如何为特定用户关闭密码过期策略_Password Expiration选项配置-phpMyAdmin-PHP中文网

在Windows域环境中，用Set-ADUser -PasswordNeverExpires $true可关闭单个用户密码过期，需域管理员权限，下次登录生效；Linux中chage -M 99999可实现本地用户密码永不过期。

直接结论：在域控或装有 rsat 的机器上，用 set-aduser 设置 passwordneverexpires 为 $true 即可关闭该用户的密码过期策略。

这不是“禁用密码策略”，而是绕过全局策略对单个用户的生效——域策略本身仍对其他人有效。

PasswordNeverExpires 是用户对象的布尔属性，设为 $true 后，pwdLastSet 不再触发过期计算
必须使用具有足够权限的账户运行（如 Domain Admin 或被委派了该属性写权限的账号）
执行后不会立即刷新客户端缓存，用户下次登录时才体现效果；若已提示“密码即将过期”，需等下次登录或手动调用 gpupdate /force（仅影响本地组策略缓存，不改变 AD 属性）

示例命令：

Set-ADUser -Identity "zhangsan" -PasswordNeverExpires $true

是的，但只对本地用户生效，且依赖 PAM 模块配置。关键不是“设了就完事”，而是确认 password-auth 或 system-auth 中启用了 pam_unix.so 并未被其他模块覆盖。

Douyin Keyword Collector

通过浏览器自动化访问抖音首页，在搜索栏输入关键词并在自动化流程中收集相关关键词建议

下载

运行 chage -I -1 -m 0 -M 99999 -E -1 username：其中 -M 99999 是最常用做法，把最大密码年龄设为极大值（实际等于“永不过期”）
-E -1 表示账户永不过期；-I -1 表示密码过期后宽限期为无限（避免锁死）
注意：如果系统启用了 pam_faillock.so 或自定义密码策略（如通过 /etc/security/pwquality.conf），仍可能拦截弱密码，但这和“过期”无关
验证方式：chage -l username 查看输出中 Password expires 是否显示 never

常见原因不是命令没执行，而是策略叠加或缓存延迟导致的“假象”。

用户同时属于多个 OU，而某个上级 OU 应用了强制密码策略（如通过 GPO 的 “Minimum password age” 或 “Enforce password history”），这类设置不冲突，但会掩盖 PasswordNeverExpires 的效果
客户端（尤其是 Windows 10/11）有时会缓存上次登录时的密码状态，重启或注销重登才能刷新
某些第三方认证代理（如 Azure AD Connect 同步、JumpCloud、Okta）会忽略本地 AD 属性，用自己的规则判断过期——此时改 AD 属性完全无效
检查是否误用了 Set-ADAccountPassword 或 net user，它们不修改 PasswordNeverExpires 属性

它确实关掉了过期机制，但不会关掉其他安全约束，比如账户锁定、Kerberos 票据有效期、或是条件访问策略中的设备合规性要求。

该设置无法防止密码被暴力破解或泄露，只是延长了“必须改密码”的时间窗口
审计时会被标记为高风险项（尤其在等保、ISO27001 场景下），需配套记录业务必要性并定期复核
若用户是服务账户（如 SQL Agent、IIS 应用池），建议配合使用托管服务账户（ms-Mcs-ManagedServiceAccount）或组托管服务账户（gMSA），它们自动轮换密码且不依赖人工干预
PowerShell 脚本批量操作时，务必加 -WhatIf 预览，避免误设所有用户

事情说清了就结束。真正难的不是怎么关，而是关完之后谁来盯这个账户、多久审一次、有没有替代方案——这些往往比敲一条命令花的时间多得多。