“用户不能更改密码”策略在本地无效，因其本质是域策略，仅对域账户生效；本地环境下需禁用ctrl+alt+del改密入口、收紧用户权限或部署laps替代人工管理。
windows 本地组策略中没有真正生效的“禁止用户修改密码”选项——这不是操作失误，而是设计限制。该策略（用户不能更改密码）仅在域环境、且针对域账户时才起作用；在纯本地账户或工作组环境下，无论你在 gpedit.msc 中如何勾选，它都不会阻止用户通过登录界面、ctrl+alt+del 或 net user 命令改密码。
为什么“用户不能更改密码”在本地无效？
这个策略本质属于 Active Directory 域策略范畴，其 GPO GUID 是 {31b2f340-016d-11d2-945f-00c04fb984f9}（默认域控制器策略），依赖域控制器下发和 LSASS 组件协同验证。本地 Windows 安装（即使专业版/企业版）缺少域控制器角色，该策略项在 gpedit.msc 中实际是灰色不可配的；若强行通过注册表写入 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\DisablePasswordChange = 1，自 Windows 10 1809 起多数版本已忽略该键值，不再生效。
本地环境下真正可行的替代方案
要限制本地用户改密码，需绕过“密码策略”路径，转而控制身份验证入口和权限：
PyCharm 2026.2.0.1 Windows版
下载
PyCharm 2026.2.0.1 Windows版提供 JetBrains 官方 2026.2.0.1 版本安装包，适合在Windows系统上进行 Python 项目开发、运行、调试和测试。
-
移除标准用户的密码修改权限：用管理员账户打开
secpol.msc→ “本地策略” → “用户权限分配”，找到“更改系统时间”“从网络访问此计算机”等无关项旁的“更改密码”类权限（实际无直接命名项），转而检查并确保目标用户未被授予SeChangeNotifyPrivilege（该权限影响部分 SAM 写入行为）；更有效的是通过net localgroup administrators 用户名 /delete确保其不在管理员组——因为只有管理员才能用net user 用户名 *强制重置他人密码，普通用户只能改自己的，而系统默认允许。 -
禁用图形化改密入口：通过
gpedit.msc→ “用户配置” → “管理模板” → “系统” → “Ctrl+Alt+Del 选项”，启用“删除‘更改密码’”；同时在“用户配置” → “管理模板” → “控制面板” → “个性化”中，启用“禁用密码保护的屏幕保护程序”（防止借屏保入口绕过）。 - 用 LAPS 或脚本接管本地管理员密码：若目标是防止非授权修改本地管理员密码，推荐部署 Windows LAPS（本地管理员密码解决方案）。它不禁止改密，而是自动轮换、加密备份密码到 AD 或 Microsoft Entra ID，并严格控制谁可读取——普通用户根本不知道当前密码，自然无法修改。
确认账户类型再行动
先区分清楚你管的是哪种账户：
- 如果是微软账号（如 xxx@outlook.com），密码由微软云服务管理，本地组策略完全无效，必须去 account.microsoft.com 或 Intune 控制台设置；
- 如果是本地账户（如 PC-NAME\user），上面提到的入口禁用 + 权限收紧是唯一务实路径；
- 如果设备已加入域，但你想限制的是本地账户（非域账户），那组策略对它依然无效——域策略只管域账户。
归根结底，Windows 本地机制默认信任交互式登录用户能修改自身密码，这是安全模型的一部分。真要阻断，得靠切断入口、收窄权限、或用 LAPS 这类专用工具替代人工管理，而不是寄望于那个灰色的策略开关。
