在Windows服务器安全组策略中禁止弱密码，核心操作就是通过本地安全策略或组策略编辑器（gpedit.msc）配置"密码必须符合复杂性要求"策略，将其设置为"已启用"，同时配合密码长度最小值、密码最短使用期限、强制密码历史等策略形成完整的弱密码防御体系。具体路径是：计算机配置 → Windows设置 → 安全设置 → 帐户策略 → 密码策略，找到"密码必须符合复杂性要求"双击启用即可。但仅靠这一项远远不够，真正要堵住弱密码的漏洞，需要把整个密码策略链路全部配齐、配严。
很多运维人员以为开了"密码复杂性"就万事大吉，实际上弱密码的威胁远不止"123456"这种明显的简单组合。像"Password1!"、"Admin@2024"、"公司名+年份"这类看似复杂实则可被字典攻击命中的密码，同样属于弱密码范畴。所以本文会从策略配置、具体参数、验证方法、常见误区、进阶加固五个维度，把这件事讲透。
一、什么是弱密码以及为什么要在安全组策略层面禁止弱密码通常指长度过短、字符种类单一、使用常见词汇或个人信息、容易被暴力破解或字典攻击命中的密码。在Windows服务器环境中，弱密码是勒索病毒、横向渗透、权限提升的第一道突破口。攻击者拿到一个弱密码的管理员账户，基本就等于拿到了整台服务器的控制权。
Windows安全组策略（Group Policy）提供了一套集中管理密码规则的机制。通过域控下发或本地策略配置，可以强制所有用户账户遵守统一的密码标准。这比靠用户自觉要可靠得多。安全组策略中的"帐户策略"模块专门负责这件事，里面有六个核心子策略，每一个都直接影响弱密码的防御效果。
二、密码策略的六大核心配置项详解打开组策略编辑器（Win+R输入gpedit.msc），进入"计算机配置 → Windows设置 → 安全设置 → 帐户策略 → 密码策略"，你会看到以下六个策略项，逐一说明：
1. 密码必须符合复杂性要求
这是禁止弱密码的核心开关。启用后，密码必须同时满足三个条件：不能包含用户账户名或全名中超过两个连续字符的部分；长度至少6个字符；必须包含大写字母、小写字母、数字、特殊符号（如!@#$%^&*）中的三类。将此策略设为"已启用"是第一步，也是最关键的一步。
2. 密码最短长度
建议设置为12个字符以上。默认值是7，但在当前算力条件下，7位密码几分钟就能被暴力破解。如果服务器面向公网或承载重要业务，直接设14或16。配置路径相同，在密码策略中找到"密码最短长度"，双击修改数值即可。
3. 密码最短使用期限
设置为1天或更短。这意味着用户每天都必须更改密码，虽然会增加管理负担，但能有效防止长期使用同一弱密码。如果觉得每天改太频繁，至少设为7天。这个策略配合密码历史策略使用效果最佳。
4. 密码最长使用期限
建议设为30天到90天之间。超过这个期限系统会强制用户修改密码。设为0表示密码永不过期，这在安全角度是不推荐的。很多企业设90天，兼顾安全性和用户体验。
5. 强制密码历史
建议设为24次或以上。这意味着用户不能重复使用最近24个密码中的任何一个。防止用户在"Password1!"和"Password2!"之间来回切换这种伪更换行为。这个策略在密码策略旁边的"帐户锁定策略"中也有关联，但密码历史本身属于密码策略。
6. 用可还原的加密来存储密码
这个策略建议设为"已禁用"。启用后密码会以可逆加密方式存储，一旦系统被入侵，攻击者可以直接还原出明文密码。禁用后密码以不可逆哈希存储，安全性更高。
三、通过命令行批量配置密码策略对于多台服务器或域环境，手动逐台配置效率太低。可以使用net accounts命令或PowerShell脚本批量下发。以下是常用的命令行方式：
net accounts /minpwlen:14 /maxpwage:60 /minpwage:1 /uniquepw:24
这条命令将最短密码长度设为14，最长使用期限60天，最短使用期限1天，密码历史24次。执行后需要重启或等待策略刷新才能生效。
如果是域环境，推荐用PowerShell通过Set-ADDefaultDomainPasswordPolicy来统一配置：
Set-ADDefaultDomainPasswordPolicy -Identity "domain.com" -MinPasswordLength 14 -ComplexityEnabled $true -MinPasswordAge "1.00:00:00" -MaxPasswordAge "60.00:00:00" -PasswordHistoryCount 24 -ReversibleEncryptionEnabled $false
这条命令在域控上执行，会对整个域内所有用户生效。注意ComplexityEnabled设为$true就是启用密码复杂性要求。
四、安全组策略与防火墙安全组的区别和配合这里需要特别说明一个容易混淆的概念。很多人把"Windows安全组策略"和云服务器的"安全组"（Security Group）搞混。Windows安全组策略（Group Policy）是操作系统层面的密码和账户管理规则；而云平台的安全组是网络层面的访问控制，控制哪些IP和端口可以访问服务器。
两者需要配合使用。网络安全组层面，你应该限制RDP（3389端口）只允许特定管理IP访问，不要对全网开放。操作系统层面，通过上述密码策略禁止弱密码。两层防护叠加，才能真正降低被暴力破解的风险。如果RDP对全网开放，即使密码策略再严，攻击者也有无限尝试的机会。
五、验证策略是否生效的具体方法配置完策略后，必须验证是否真正生效。方法有三种：
第一，在命令行执行gpresult /r，查看"计算机设置"下的"密码策略"部分，确认各项值是否符合预期。
第二，用secpol.msc打开本地安全策略，查看"帐户策略 → 密码策略"中的各项设置是否显示为已启用且数值正确。
第三，实际创建一个测试用户，尝试设置弱密码如"123456"，如果系统提示"密码不符合密码策略要求"，说明策略已生效。如果没有提示，检查策略是否被更高层级的组策略覆盖，或者执行gpupdate /force强制刷新。
六、常见配置误区和避坑指南误区一：只开密码复杂性，不设最短长度。 复杂性要求允许6位密码，但6位即使满足复杂性也极易被破解。必须同时拉高最短长度。
误区二：忽略帐户锁定策略。 密码策略只管密码怎么设，不管输错多少次锁定。需要在"帐户策略 → 帐户锁定策略"中配置"帐户锁定阈值"（建议5次）、"帐户锁定时间"（建议30分钟）、"重置帐户锁定计数器"（建议30分钟）。这样暴力破解输错5次就被锁半小时，攻击成本急剧上升。
误区三：策略配置后不刷新不重启。 组策略默认90分钟刷新一次，域环境可能更久。配置后务必执行gpupdate /force或重启服务器，否则新策略不会立即生效。
误区四：对所有账户一视同仁。 服务账户、系统内置账户有时会被忽略。建议通过"本地安全策略 → 本地策略 → 用户权限分配"中的"拒绝本地登录"和"拒绝从网络访问这台计算机"来限制不必要的账户登录权限。
七、进阶加固：Beyond密码策略的弱密码防御密码策略只是基础防线。要真正杜绝弱密码带来的风险，还需要以下措施：
第一，部署多因素认证（MFA）。即使密码被猜到，没有第二因子也无法登录。Windows Server 2019及以上版本支持Azure MFA集成，Windows Server 2022对此有更好的原生支持。
第二，定期审计密码状态。使用PowerShell脚本扫描域内用户，找出使用弱密码或长期未改密码的账户：
Get-ADUser -Filter * -Properties PasswordLastSet, PasswordNeverExpires | Where-Object {$_.PasswordNeverExpires -eq $true -or $_.PasswordLastSet -lt (Get-Date).AddDays(-90)} | Select-Object Name, PasswordLastSet, PasswordNeverExpires
第三，使用LAPS（Local Administrator Password Solution）管理本地管理员密码。LAPS可以为每台服务器自动生成随机强密码并定期轮换，存储在活动目录中，只有授权人员才能读取。这是微软官方推荐的本地管理员密码管理方案。
第四，启用Windows Defender凭据保护（Credential Guard）。这项功能利用虚拟化技术隔离凭据，防止密码哈希被内存抓取。在Windows Server 2016及以上版本中可用，需要UEFI和TPM 2.0支持。
八、总结与实操建议清单把禁止弱密码这件事做成一个可执行的检查清单，方便运维人员逐项落实：
1. 打开gpedit.msc，启用"密码必须符合复杂性要求"；
2. 设置密码最短长度不低于12，推荐14；
3. 设置密码最短使用期限为1天，最长使用期限不超过90天；
4. 设置强制密码历史为24次；
5. 禁用"用可还原的加密来存储密码"；
6. 配置帐户锁定策略：5次锁定、30分钟、30分钟重置；
7. 限制RDP访问IP，不对全网开放3389端口；
8. 执行gpupdate /force刷新策略；
9. 创建测试用户验证策略生效；
10. 定期用脚本审计密码状态，部署MFA和LAPS。
弱密码问题看似简单，但真正要在生产环境中做到位，需要策略配置、网络控制、审计监控、多因素认证多管齐下。Windows安全组策略是这套防御体系的基石，把它配好、配严，是每一个Windows服务器管理员的基本功。
