域用户账号锁定策略必须在域控制器的组策略中配置，本地设置或net accounts命令无效；LockoutThreshold设3次适用于高权限账户，5次适合普通用户，禁用（0）或设1次、10次以上均不推荐；自动解锁时间由LockoutDuration决定，建议设15或30分钟；策略须配置在域根OU链接的GPO中，路径为计算机配置→Windows设置→安全设置→账户锁定策略；修改后需gpupdate /force并等待策略刷新，验证应使用gpresult或rsop.msc而非secpol.msc。
域用户账号锁定策略必须在域控制器的组策略中配置，本地设置或命令对域账户完全无效。
账户锁定阈值设多少才不误锁又防爆破
该值由
控制，单位是“错误密码次数”，不是时间。默认为0（禁用），生产环境绝不能保留此状态。
3次：适用于高权限账户（如
成员）、财务/审计系统——Caps Lock误触或远程桌面缓存旧密码仍可能触发，但可接受
5次：终端用户多、密码复杂度低、存在共享账号的场景更稳妥；10次及以上基本失去防护意义，尤其当密码长度≤6或无大小写+数字要求时
绝对避免设为1次：键盘连按、输入法切换、RDP重连自动填错都会导致秒锁，运维支持量激增
自动解锁时间必须和
一致
很多人混淆
（账户锁定时长）与“账户锁定持续时间”（
相关参数）。真正决定“多久后自动恢复登录”的只有
。
设为
或
（单位：分钟）：覆盖主流爆破工具的单轮尝试窗口，普通用户等待可接受
设为
：账户永不自动解锁，必须人工干预——仅建议用于特权账户，且需配套短信告警+自助解锁入口，否则会卡住关键业务
慎用“账户锁定持续时间 + 重置计数器”组合：若二者数值不同（比如
但
），逻辑冲突，Windows行为不可预测
GPO路径与生效前提必须核对清楚
策略只在域控制器上、链接到域根OU的GPO中生效，本地安全策略或子OU单独配的GPO不会应用到域账户登录过程。
正确路径：
修改后必须执行
，且需等待至少一次组策略刷新周期（默认90分钟+随机偏移）；重启域控制器或强制同步
可加速
多个GPO冲突时，以“最后应用的GPO”为准，不是最靠近用户的OU——检查GPO链接顺序和是否启用“强制继承”
验证是否生效不能只看本地
打开的是本机安全策略，对域用户登录无影响；
查到的也是本地账户策略，域环境下显示的
字段始终为0或无效值。
正确验证方式：在域成员机上运行
，打开HTML报告查看“已应用的组策略对象”中对应GPO的“账户锁定策略”节
或用
确认当前登录的DC，再在该DC上用
实时查看结果
实际测试建议用非关键账户：连续输错密码3次，观察
中
日志ID 4740事件是否生成，以及是否在设定分钟后自动解除锁定
最容易被忽略的是策略继承关系和刷新延迟——改完GPO立刻去测试，90%的情况会以为没生效，其实是还没刷下来。别急着重做，先
看报告，再查DC上的
日志ID 4740和4742确认真实状态。
net accountsLockoutThresholdDomain AdminsLockoutDurationLockoutDurationResetLockoutCountAtLockoutDuration15300LockoutDuration=15ResetLockoutCountAt=30计算机配置 → 策略 → Windows设置 → 安全设置 → 账户策略 → 账户锁定策略gpupdate /forcerepadmin /syncallsecpol.mscsecpol.mscnet accountsLockout durationgpresult /h report.htmlnltest /dsgetdc:yourdomain.comrsop.msceventvwr.mscSecuritygpresultSecurity