必须在域控制器上通过链接到域名的GPO（如默认域策略）配置，路径为计算机配置→策略→Windows设置→安全设置→账户策略→密码策略；启用“密码必须符合复杂性要求”后，仅约束交互式改密等合规操作，绕过校验（如PowerShell直写unicodePwd）仍可设弱密码。
必须在域控制器上配置，且只能通过链接到域名的 gpo（如默认域策略）生效，其他位置或本地组策略编辑器的操作均无效。
正确配置路径和位置打开「组策略管理控制台」（gpmc.msc
），在域控制器上操作：
定位到你的域名节点（如DC=contoso,DC=com）→「组策略对象」→ 右键「默认域策略」→「编辑」
导航至：
计算机配置 → 策略 → Windows 设置 → 安全设置 → 账户策略 → 密码策略双击「密码必须符合复杂性要求」→ 选择「已启用」→ 确定注意：不能在「用户配置」下找，也不能在 OU 级别 GPO 中配置该策略——它只在域名层级的计算机配置路径下起作用策略生效的关键细节启用后并非“立即清理旧密码”，而是约束后续所有新设或重置行为：仅对交互式改密（Ctrl+Alt+Del）、域登录时强制修改、以及符合 LDAP/Kerberos 密码修改协议的请求校验若用户仍能设简单密码（如123456），大概率是绕过了校验：比如用PowerShell Set-ADAccountPassword直接重置、或脚本调用unicodePwd属性写入检查事件查看器「安全」日志，筛选 ID 4723（尝试改密）和4724（成功重置），确认调用方式是否合规配套策略建议一并启用单靠复杂度不够，需组合使用才能形成有效防护：最小密码长度：设为12（启用复杂度后，系统自动强制不低于 8，但设 12 更稳妥）
密码最长使用期限：建议60 或 90 天，避免长期不更新密码最短使用期限：设为1，防止用户秒换回旧密码绕过历史记录强制密码历史：建议24次，确保足够长的轮换周期常见误区与验证方法策略配完不等于已落地，务必验证是否真正应用：执行gpupdate /force刷新策略（部分策略需重启域控制器才完全生效）
新建测试用户，在域登录界面或 Ctrl+Alt+Del 改密时尝试弱密码，观察是否被拒运行gpresult /h report.html查看实际应用的 GPO 列表和策略值若本地组策略编辑器中该选项呈灰色，说明已被域策略接管——这是正常现象，无需也无法在本地修改