如何设置帐户锁定策略？？

Question

在开始菜单的搜索框输入“Secpol.msc”，打开本地安全策略编辑器；或：在开始菜单的搜索框输入“gpedit.msc”，打开组策略对象编辑器，然后依次点击“计算机设置” => “Windows设置” => “安全设置”，编辑本地安全策略； 这样做对么？我还不知道。。

Answer 1

账户锁定是指在某些情况下（账户受到采用密码词典或暴力破解方式的在线自动登录攻击等），为保护该账户的安全而将此账户进行锁定，使其在一定时间内不能再次使用此账户，从而挫败连续的猜解尝试。

Windows Server 2003系统在默认情况下，为方便用户起见，这种锁定策略并没有进行设置。因此对黑客的攻击没有任何限制。只要有耐心，通过自动登录工具和密码猜解字典进行攻击，甚至可以进行暴力模式攻击，破解密码只是一个时间问题。账户锁定策略设置的第一步就是指定账户锁定的阈值，即锁定前该账户无效登录的次数。一般来说，由于操作失误造成的登录失败的次数是有限的。

在这里设置锁定阈值为3次，这样只允许3次登录尝试。如果3次登录全部失败，就会锁定该账户。但是，一旦该账户被锁定后，即使是合法用户也就无法使用了。只有管理员才可以重新启用该账户，这就造成了许多不便。

为方便用户起见，可以同时设置锁定的时间和复位计数器的时间，这样以来在3次无效登录后就开始锁定账户，以及锁定时间为30分钟为限。以上的账户锁定设置，可以有效地避免自动猜解工具的攻击，同时对于手动尝试者的耐心和信心也可造成很大的打击。

锁定用户账户常常会造成一些不便，但系统的安全有时更为重要。账户锁定策略用于域账户或本地用户账户，用来确定某个账户被系统锁定的情况和时间长短。账户锁定策略包含以下3个策略。

1．账户锁定阈值以“账户锁定阈值”为例说明如何设置账户锁定策略。该安全设置确定造成用户账户被锁定的登录失败尝试的次数。在锁定时间内，无法使用锁定的账户，除非管理员进行了重新设置或该账户的锁定时间已过期。登录尝试失败的范围可设置为0～999之间，建议值为3～5，既允许用户输或记忆错误，又避免恶意用户反复尝试用不同密码登录系统。【说明】 如果将锁定阈值设为0，将无法锁定账户。对于使用Ctrl+Alt+Delete组合键或带有密码保护的屏幕保护程序锁定的计算机上，失败的密码尝试计入失败的登录尝试次数中。打开组策略控制台，依次展开“计算机配置”→“Windows设置”→“安全设置”→“账户策略”→“账户锁定策略”，显示如图5-9所示的窗口。在右侧的策略窗口中，双击“账户锁定阈值”选项，显示“账户锁定阈值 属性”对话框，如图5-10所示。 选择“定义这个策略设置”复选框，在“账户不锁定”文本框中输入无效登录的次数，例如3，则表示3次无效登录后，锁定登录所使用的账户。单击“确定”按钮，保存对该策略的修改。【说明】 “账户锁定阈值”策略默认状态下被禁用，从网络安全的角度考虑，为了防止黑客的恶意破解，建议启用该策略，并设置合理的数值，建议“账户锁定阈值”为3。

2．账户锁定时间该安全设置确定锁定的账户在自动解锁前保持锁定状态的分钟数。有效范围从0～99，999分钟。如果将账户锁定时间设置为0，那么在管理员明确将其解锁前，该账户将一直被锁定。如果定义了账户锁定阈值，则账户锁定时间必须大于或等于重置时间。 在图5-9所示的窗口中，双击右侧栏中的“账户锁定时间”选项，显示“账户锁定时间 属性”对话框，如图5-11所示。选择“定义这个策略设置”复选框，在“账户锁定时间”文本框中输入账户锁定时间，如30，则表示账户被锁定的时间为30分钟，30分钟后方可使用被锁定的账户。【说明】 当用户登录错误登录的次数到达指定的账户锁定阈值后，将自动锁定当前用户。用户锁定后，如果没有网络管理员解锁此用户，将一直处于锁定状态。为了维护方便，网络管理员可以设置“账户锁定时间”，账户被锁定的时间被设置后，超过指定时间后，可自动解锁被锁定的账户。

3．复位账户锁定计数器安全设置确定在登录尝试失败计数器被复位为0（即0次失败登录尝试）之前，尝试登录失败之后所需的分钟数。有效范围为1～99，999分钟之间。如果定义了账户锁定阈值，则该复位时间必须小于或等于账户锁定时间。 在图5-9所法的窗口中，双击右侧栏中的“复位账户锁定计数器”选项，显示“复位账户锁定计数器 属性”对话框，如图5-12所示。选择“定义这个策略设置”复选框。在“在此后复位账户锁定计数器”下方的文本框中输入账户锁定复位的时间，如30，30分钟后复位被锁定的账户。【说明】 “复位账户锁定计数器”和“账户锁定时间”的作用相同。

Answer 2

对于本地计算机
1.
打开本地安全设置。

2.
在控制台树中，单击“帐户锁定策略”（控制台树的位置为：安全设置/帐户策略/帐户锁定策略）。

3.
在详细信息窗格中，右键单击所需的策略设置，然后单击“属性”。

4.
选择所需选项，然后单击“确定”。

注意

�6�1 要执行该过程，您必须是本地计算机上 Administrators 组的成员，或者您必须被委派了适当的权限。如果计算机已加入某个域，则 Domain Admins 组的成员可能会执行该过程。作为安全性最佳操作，请考虑使用“运行方式”执行此过程。详细信息，请参阅默认本地组、默认组以及使用运行方式。

�6�1 要打开“本地安全策略”，请单击“开始”，指向“设置”，单击“控制面板”，双击“管理工具”，然后双击“本地安全策略”。

返回页面顶部
对于域，并且您位于已加入到域中的成员服务器或工作站
1.
打开 Microsoft 管理控制台 (MMC)。

2.
在“文件”菜单上，单击“添加/删除管理单元”，然后单击“添加”。

3.
单击“组策略对象编辑器”，然后单击“添加”。

4.
在“选择组策略对象”中，单击“浏览”。

5.
在“浏览组策略对象”中，选择相应域、站点或组织单位中的组策略对象，或者新建一个组策略对象，单击“确定”，然后单击“完成”。

6.
单击“关闭”，然后单击“确定”。

7.
在控制台树中，单击“帐户锁定策略”（控制台树的位置为：组策略对象 [计算机名] 策略/计算机配置/Windows 设置/安全设置/帐户策略/帐户锁定策略）。

8.
在详细信息窗格中，右键单击所需的策略设置，然后单击“属性”。

9.
如果您是首次定义该策略设置，请选中“定义这个策略设置”复选框。

10.
选择所需选项，然后单击“确定”。

注意

�6�1 要执行此过程，您必须是 Active Directory 中 Domain Admins 组或 Enterprise Admins 组的成员，或者您必须被委派了适当的权限。作为安全性最佳操作，请考虑使用“运行方式”执行此过程。详细信息，请参阅默认本地组、默认组以及使用运行方式。

�6�1 要打开“Microsoft 管理控制台”，请依次单击“开始”、“运行”，键入 mmc，然后单击“确定”。

返回页面顶部
对于域，并且您位于域控制器或位于已安装 Windows Server 2003 管理工具包的工作站
1.
打开 Active Directory 用户和计算机。

2.
右键单击控制台树中要设置组策略的域或组织单位。

3.
单击“属性”，然后单击“组策略”选项卡。

4.
单击“组策略对象链接”中的项目以选择一个现有的组策略对象 (GPO)，然后单击“编辑”。您也可以单击“新建”创建新的 GPO，然后单击“编辑”。

5.
在控制台树中，单击“帐户锁定策略”（控制台树的位置为：组策略对象 [计算机名] 策略/计算机配置/Windows 设置/安全设置/帐户策略/帐户锁定策略）。

6.
在详细信息窗格中，右键单击所需的策略设置，然后单击“属性”。

7.
如果您是首次定义该策略设置，请选中“定义这个策略设置”复选框。

8.
选择所需选项，然后单击“确定”。

注意

�6�1 要执行此过程，您必须是 Active Directory 中 Domain Admins 组或 Enterprise Admins 组的成员，或者您必须被委派了适当的权限。作为安全性最佳操作，请考虑使用“运行方式”执行此过程。详细信息，请参阅默认本地组、默认组以及使用运行方式。

�6�1 要打开“Active Directory 用户和计算机”，请单击“开始”，单击“控制面板”，双击“管理工具”，然后双击“Active Directory 用户和计算机”。

警告

�6�1 当启用帐户锁定策略时，存在锁定合法用户的风险。要避免锁定那些只是误输入或误记自己密码的合法用户，请设置较高的帐户锁定阈值。

此外，如果在一台计算机上更改了密码，但用户仍使用原来的密码在另一台计算机上登录，而用户所登录的计算机也不断尝试使用原来的密码对该用户进行身份验证，在这种情况下，最终也会导致用户帐户锁定。对于只使用运行 Windows Server 2003 家族操作系统的域控制器的组织，则不存在此问题。

注意

�6�1 有关每个帐户锁定策略设置的详细信息，请参阅“相关主题”中的“帐户锁定策略”。

返回页面顶部
有关功能差异的信息
�6�1 服务器的工作方式可能会因所安装操作系统的版本、帐户权限和菜单设置的不同而不同。详细信息，请参阅查看 Web 上的帮助

Answer 3

账户策略→账户锁定策略

Answer 4

创建规则

Answer 5

什么事情都要自己尝试