Windows Server 2003/2008 密碼不符合原則需求完整解決方案

問題背景

在 Active Directory 網域環境中，使用者變更密碼時提示「密碼不符合原則需求」。預設網域原則要求密碼至少 7 個字元，且必須包含大小寫字母、數字與特殊符號（複雜度需求）。本文提供兩個版本的完整調整流程。

Windows Server 2003 調整流程

路徑：網域安全性原則

開始 → 程式集 → 系統管理工具 → 網域安全性原則
→ 帳戶原則 → 密碼原則

關鍵設定修改

生效方式

1. 自動重新整理：等待 5-15 分鐘背景群組原則更新
2. 手動強制更新：執行 gpupdate /force
3. 針對性更新：
   • 僅電腦原則：gpupdate /target:computer
   • 僅使用者原則：gpupdate /target:user
4. 重新啟動/登出：修改電腦原則需重啟，使用者原則只需登出重新登入

Windows Server 2008/R2/2012+ 調整流程（GPM 管理主控台）

核心差異

Server 2008 起，本地安全性原則 不再生效於網域帳號，必須透過 GPM (Group Policy Management) 修改預設網域原則 (Default Domain Policy)。

詳細操作步驟

1. 開啟 GPM：
   開始 → 系統管理工具 → 群組原則管理
   或執行 gpmc.msc（建議以管理員身分執行）
2. 展開樹狀結構：
   Forest: [您的網域] → Domains → [您的網域] → Group Policy Objects
3. 右鍵點選 Default Domain Policy → 選擇 編輯
4. 在「群組原則管理編輯器」中依序展開：
   電腦設定 → 原則 → Windows 設定 → 安全性設定 → 帳戶原則 → 密碼原則
5. 雙擊 密碼必須符合複雜性需求 → 選擇 已停用 → 確定
6. 根據需求調整其他項目（長度、期限、歷程記錄等）
7. 關閉編輯器，回到 GPM 主控台
8. 強制更新：在目標電腦或 DC 執行 gpupdate /force

進階：細粒度密碼原則 (FGPP, PSO)

若僅需為特定群組/使用者放寬密碼要求（如服務帳號、高階主管），Server 2008 R2 起支援 細粒度密碼原則：

# PowerShell 建立 PSO 範例
New-ADFineGrainedPasswordPolicy -Name "ServiceAccountsPolicy" `
  -Precedence 10 -ComplexityEnabled $false -MinPasswordLength 8 `
  -MaxPasswordAge "90.00:00:00" -MinPasswordAge "1.00:00:00" `
  -PasswordHistoryCount 3 -ReversibleEncryptionEnabled $false `
  -ProtectedFromAccidentalDeletion $true

# 套用至群組
Add-ADFineGrainedPasswordPolicySubject "ServiceAccountsPolicy" -Subjects "SVC_Group"

此方式不修改網域預設原則，安全性更佳，強烈建議生產環境採用。

安全性最佳實務建議

常見問題排查

總結

Server 2003 透過「網域安全性原則」修改，Server 2008+ 必須使用 GPM 編輯 Default Domain Policy。生產環境強烈建議採用 細粒度密碼原則 (FGPP/PSO) 實現差異化管理，兼顧安全性與業務靈活性。修改後記得執行 gpupdate /force 並驗證 gpresult /h report.html 確認原則已下發。