Windows无“本地访客账号”，仅有默认禁用的Guest账户；实际应管理自建访客账户（如Visitor），通过GPP批量设密码，禁用Guest账户更安全。
windows 环境中没有“本地访客账号”这一标准内置账户。系统默认只有 guest（来宾）账户，且自 windows vista 起默认禁用、不设密码；也没有名为“访客”的本地用户。因此，“批量重置本地访客账号密码”这个需求本身存在概念偏差——你实际想操作的，通常是以下三类之一：
确认目标账户：是 Guest 账户？还是自建的访客类账户？
很多企业会手动创建类似 Visitor、GuestUser、TempAccess 这样的本地普通用户，用于临时接待。这类账户才是 GPP 可管理的对象。
- 若目标是系统内置的 Guest 账户：GPP 可启用它并设密码，但不推荐启用 Guest 账户（安全风险高，微软长期建议禁用）
- 若目标是自建的访客账户（如 Visitor）：这才是合理、可控、可审计的做法，GPP 完全支持批量创建/更新其密码
- 若误将域内访客邮箱或 M365 访客账户当作“本地账号”：它们属于云身份，GPP 无法管理，需通过 Microsoft Entra ID 或 PowerShell 处理
用 GPP 批量设置自建访客账户密码（推荐做法）
前提：域环境为 Windows Server 2008 R2 或更高版本，客户端为 Windows 7 及以上。
- 在组策略管理控制台（gpmc.msc）中，新建或编辑一个 GPO，链接到目标计算机 OU
- 路径：计算机配置 → 首选项 → 控制面板设置 → 本地用户和组
- 右键 → 新建 → 本地用户
- 填写：
- 用户名：填你实际创建的访客账户名，例如 Visitor（不是 Guest）
- 密码 和 确认密码：设定统一强密码
- 勾选：用户无法更改密码、帐户永不过期
- Action 选择：Update（更新已有账户）或 Create（首次部署时用）
- 保存后，在客户端运行
gpupdate /force，重启或等待策略刷新即可生效
重要安全提醒：GPP 密码存储有明文风险
GPP 设置的密码会以加密形式（AES-256）写入 SYSVOL 中的 XML 文件（如 Groups.xml），但该加密密钥是公开的。攻击者一旦获得域内普通用户权限，即可解密获取密码。
- 务必限制对
\DOMAINSYSVOLDOMAINPolicies的读取权限，至少禁止 Authenticated Users 组访问 - 避免在生产环境 GPO 中长期使用高权限账户密码；访客账户本身应仅具备最低必要权限（如标准用户组）
- 更安全的替代方案：用 LAPS（本地管理员密码解决方案）管理本地管理员账户；访客类账户建议配合登录脚本+临时令牌或定期自动禁用机制
如果真要启用并设密码给内置 Guest 账户（不推荐）
仅作技术说明，非最佳实践：
- GPP 中新建本地用户，用户名填 Guest
- 必须同时启用该账户：在同个 GPO 中配置 计算机配置 → 策略 → Windows 设置 → 安全设置 → 本地策略 → 安全选项，启用“账户：来宾账户状态”
- 仍需设密码，并勾选“用户无法更改密码”
- ⚠️ 启用 Guest 账户会绕过多数登录审计、无法加入域组策略控制、易被暴力破解，已不符合等保及主流安全基线要求
