要让windows用户定期更换登录密码，必须启用“密码最长使用期限”策略并配套设置最短使用期限、强制密码历史和复杂性要求。本地用gpedit.msc或net accounts命令，域环境用gpmc.msc配置，默认90分钟刷新，家庭版需命令行操作。
要让 windows 用户定期更换登录密码，核心是启用并配置“密码最长使用期限”策略，再配合其他关键策略形成闭环。单独设个过期天数并不够，必须搭配复杂度、历史记录和最短使用期，否则容易被绕过或失效。
定位并启用密码最长使用期限
这是强制定期换密的直接控制项。在本地计算机上，运行 gpedit.msc；在域环境中，用 gpmc.msc 编辑“默认域策略”或指定 GPO。路径统一为：
计算机配置 → Windows 设置 → 安全设置 → 账户策略 → 密码策略
双击“密码最长使用期限”，输入具体天数（推荐 60 或 90），不能填 0（表示永不过期）。
配套设置防绕过的关键策略
仅设最长有效期，用户可能当天改完又立刻切回旧密码。必须同步配置以下三项：
- 密码最短使用期限：设为 1 天以上（如 1），阻止用户在同一天内反复修改以绕过历史限制
- 强制密码历史：设为至少 5 次（域环境建议 24），确保旧密码无法重复使用
- 密码必须符合复杂性要求：启用后，密码需含大小写字母、数字、特殊字符四类中的三类，且不得包含用户名或全名片段
注意生效逻辑与例外情况
这些策略只对新设或重置密码生效，不会强制已有简单密码立即失效。但下次用户主动或被动修改密码时，就必须满足全部要求。
- 已勾选“密码永不过期”的账户（如某些服务账户）不受该策略影响，需手动清除账户属性中的对应勾选
- 域环境下策略默认每 90 分钟刷新一次，可执行 gpupdate /force 立即应用
- 家庭版 Windows 不支持 gpedit.msc，需用管理员命令提示符：
net accounts /maxpwage:60（设所有本地账户 60 天过期）
wmic UserAccount where Name='YourName' set PasswordExpires=True（仅针对指定账户）
验证与日常维护
策略部署后，建议抽样测试：新建测试账户，尝试设置弱密码或重复旧密码，确认被拒绝；模拟到期日登录，检查是否弹出强制修改提示。
- 用 net accounts 命令可快速查看当前本地策略状态
- 域中若需差异化策略（如管理员 vs 普通员工），需启用“细化密码策略”（Fine-Grained Password Policy），通过 PSO 对象绑定到安全组
- 定期审计账户属性，清理异常勾选的“密码永不过期”，避免策略被个别账户绕过
