Windows 如何配置安全策略限制本地账户密码错误锁定次数

Windows可通过本地安全策略或组策略编辑器配置账户锁定规则，核心是协同设置“账户锁定阈值”“账户锁定时间”和“重置账户锁定计数器”三项；专业版及以上可用secpol.msc，家庭版需用gpedit.msc或注册表；阈值建议设为5，后两项统一设为30分钟；注意锁屏输错默认不计数，阈值为0表示不锁定，域环境可能被GPO覆盖。

Windows 可以通过本地安全策略或组策略编辑器配置账户锁定规则，限制本地账户因密码错误被锁定的次数。核心是设置“账户锁定阈值”，并配套调整“账户锁定时间”和“重置账户锁定计数器”，三者必须协同生效。

确认系统版本与工具可用性

本地安全策略（secpol.msc）仅适用于 Windows 专业版、企业版或教育版；家庭版不支持，需改用组策略编辑器（gpedit.msc）或注册表方式。两者均需管理员权限运行。

通过本地安全策略设置锁定次数（推荐入门用户）

操作路径清晰，适合单机环境：

1. 按 Win + R，输入 secpol.msc 回车，打开本地安全策略控制台
2. 左侧依次展开：账户策略 → 账户锁定策略
3. 双击“账户锁定阈值”，输入数字（如 5），表示连续 5 次错误登录后自动锁定该账户
4. 此时会弹出提示框，要求同步设置“账户锁定时间”和“重置账户锁定计数器”——建议统一设为 30（单位：分钟）
5. 点击确定保存，无需重启，策略立即生效（部分场景需用户重新登录验证）

通过组策略编辑器精细配置（推荐进阶/多设备管理）

功能更全，支持导出备份，且可覆盖 secpol.msc 未提供的策略项：

1. 按 Win + R，输入 gpedit.msc 回车
2. 导航至：计算机配置 → Windows 设置 → 安全设置 → 账户策略 → 账户锁定策略
3. 依次双击配置三项：
   1. 账户锁定阈值：设为 3–10 之间的整数（5 是兼顾容错与防爆破的常用值）
   2. 账户锁定时间：设为 30（分钟），避免永久锁定带来运维负担
   3. 重置账户锁定计数器：也设为 30，确保计数窗口与锁定时长一致
4. 修改后关闭窗口即可，策略实时加载

注意事项与常见问题

配置后需注意实际行为边界：

1. 屏幕保护程序或锁屏界面输入错误密码，默认不计入锁定计数，除非启用“交互式登录：需要域控制器身份验证以对工作站进行解锁”策略
2. 阈值设为 0 表示永不锁定，这是 Windows 默认值，务必修改
3. 若设置后未生效，检查是否被更高优先级的域策略（GPO）覆盖；本地策略在域环境中通常被忽略
4. 过于激进的阈值（如设为 3）可能增加误锁风险，尤其对频繁输错的普通用户