服务器开了密码复杂度策略，新建用户却还能把密码设成 123456，策略为什么没生效？

直接给结论：复杂度策略「没拦住」，常见根子不是策略没写，而是写错了地方——域环境的密码策略只在「默认域策略」这一处生效（细粒度策略除外），改在别的组策略或成员服务器上，对域账号无效；而你在服务器上新建的若是本地账户，走的是机器自己的本地策略，域策略管不着它。先分清账户身份，再核策略位置。

第一步：分清这个用户是谁的

新建用户时看清楚落点：域账号（Active Directory 用户和计算机里建）走域密码策略；本地账号（计算机管理里建）走本地安全策略。拿域策略拦本地账号，或反过来，都会出现「明明开了复杂度还能设 123456」的错位。各自的口子各自改：域的在默认域策略，本地的在该机器的本地安全策略里。判别身份的土办法：域账号在任意成员机上登录都受域策略约束，本地账号只受本机策略约束；服务器上的本地账号定期对一遍，别让它们悄悄繁殖。

第二步：核策略的位置与优先级

域环境里，密码与账户锁定策略只在默认域策略的根节点生效，挂在子 OU 的同类设置不起作用（除非用细粒度密码策略按组下发）。逐项查三处：有没有人把默认域策略里的复杂度改回「已禁用」；有没有新建的高优先级策略把设置顶掉；策略有没有链接到正确的域根——组策略按链接顺序和继承关系算最终结果，拿策略结果集工具看这个用户实际套上了哪条，一眼定案。确实需要不同人群不同强度时，走细粒度密码策略按组下发，绕开「只认默认域策略」的限制——配完同样要拿弱密码验证。

第三步：改完要等生效

策略改完有复制与刷新延迟：域控之间先同步，客户端跑 gpupdate /force，再建新用户验证。验证就用笨办法——拿 123456 试设一次，被拒才算数；还能设就回去接着查策略位置，别在延迟上干等。域控之间的复制状态顺手核一眼：复制本身出问题的环境，策略半天到不了位，那是另一个病，别误判成策略没写。

顺手把周边配齐

复杂度只是起点，长度下限、历史次数、最短使用期限一起配上才成体系——光有复杂度拦不住「Ab@1」这种过场密码，还要靠定期改密与弱口令盘点兜底。策略文本贴在交接文档里，换人接手不用重新猜。

贵州诚鑫致达科技给贵阳公司搭域环境时，策略配完都拿弱密码当场试一遍才交付——「写了」和「拦住了」之间，差的正是这一步验证。

企业存储选型参考｜贵州诚鑫致达

做海量监控接入与长期归档，群晖机型参考：HD6500 · RS3621xs+ · DS2422+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。毕节、铜仁：企业数据备份容灾与网络建设维护。