如何禁用自动计算机帐户密码更改

  • 项目

本文介绍了管理员如何禁用自动计算机帐户密码更改。

适用于：Windows 10 - 所有版本，Windows Server 2012 R2
原始 KB 数： 154501

摘要

出于安全考虑，会定期更改计算机帐户密码。 默认情况下，在基于 Windows NT 的计算机上，计算机帐户密码每七天自动更改一次。 从基于 Windows 2000 的计算机开始，计算机帐户密码每 30 天自动更改一次。

警告

如果禁用计算机帐户密码更改，则存在安全风险，因为安全通道用于直通身份验证。 如果有人发现密码，他或她可能会对域控制器执行直通身份验证。

更多信息

出于以下任一原因，可能需要禁用默认自动计算机帐户密码更改：

  • 希望减少复制次数。 作为自动计算机帐户密码更改的副作用，具有许多客户端计算机和域控制器的域可能会导致频繁进行复制。 可以禁用自动计算机帐户密码更改以减少复制次数。

  • 在采用双启动配置的同一台计算机上，你有两个单独的 Windows NT 或 Windows 2000 安装。 在这种情况下，在 Windows NT 或 Windows 2000 的两个安装之间共享同一计算机帐户的唯一方法是使用加入域时创建的默认计算机帐户密码。

  • 如果经常执行 Windows NT 或 Windows 2000 的干净安装，则必须在域上具有一个管理员，该管理员可在域中创建计算机帐户。 如果存在问题，可以将计算机帐户的密码保留为默认值。

通过将 DisablePasswordChange 注册表项设置为值 1，可以在工作站上禁用计算机帐户密码更改。 为此，请执行以下步骤。

重要

此部分（或称方法或任务）介绍了修改注册表的步骤。 但是，注册表修改不当可能会出现严重问题。 因此，请务必严格按照这些步骤操作。 为了加强保护，应先备份注册表，再进行修改。 如果出现问题，可以还原注册表。 有关详细信息，请参阅 如何在 Windows 中备份和还原注册表。

  1. 启动注册表编辑器。 为此，请选择“开始”，选择“运行”，在“打开”框中键入 regedit，然后选择“确定”。

  2. 找到并选择以下注册表子项：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters

  3. 在右窗格中，选择 DisablePasswordChange 条目。

  4. 在“编辑”菜单上，选择“修改”。

  5. 在“ 值数据 ”框中，键入值 1，然后选择“ 确定”。

  6. 退出注册表编辑器。

在 Windows NT版本 4.0 和 Windows 2000、Windows Server 2003、Windows Server 2008 和 Windows Server 2008 R2 中，可以通过在域中的所有域控制器（而不是所有工作站上）将 RefusePasswordChange 注册表项设置为值 1 来禁用计算机帐户密码更改。 为此，请执行以下步骤。

注意

在 Windows NT 4.0 域控制器上，必须先将域中所有备份域控制器上的 RefusePasswordChange 注册表项更改为值 1， (BDC) ，然后才能在主域控制器上 (PDC) 进行更改。 未能遵循此顺序将导致事件 ID 5722 记录在 PDC 的事件日志中。

重要

此部分（或称方法或任务）介绍了修改注册表的步骤。 但是，注册表修改不当可能会出现严重问题。 因此，请务必严格按照这些步骤操作。 为了加强保护，应先备份注册表，再进行修改。 如果出现问题，可以还原注册表。 有关详细信息，请参阅 如何在 Windows 中备份和还原注册表。

  1. 启动注册表编辑器。 为此，请选择“ 开始”，选择“ 运行”，在“ 打开 ”框中键入 regedit，然后选择“ 确定”。

  2. 找到并选择以下注册表子项：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters

  3. 在 “编辑” 菜单上，指向“ 新建”，然后选择“ DWORD 值”。

  4. 键入 RefusePasswordChange 作为注册表项名称，然后按 Enter。

  5. 在“编辑”菜单上，选择“修改”。

  6. 在“ 值数据 ”框中，键入值 1，然后选择“ 确定”。

  7. 退出注册表编辑器。

注意

RefusePasswordChange 注册表项会导致域控制器仅拒绝来自运行 Windows NT 版本 4.0 或更高版本的工作站或成员服务器的密码更改请求。

如果将 RefusePasswordChange 注册表项设置为值 1，则工作站或成员服务器首次尝试更改其计算机帐户密码后，将通过) 返回不同的状态代码来阻止将来更改密码 (尝试。 基于 Windows NT 4.0 的计算机将在 7 天内再次尝试更改其计算机帐户密码，基于 Windows 2000 的计算机将在 30 天后重试。 如果将 RefusePasswordChange 注册表项设置为 值 1，复制流量将停止，但客户端流量不会停止。 如果将 DisablePasswordChange 注册表项设置为 值 1，客户端和复制流量都将停止。

如果禁用自动计算机帐户密码更改，则可以在使用同一计算机帐户的同一台计算机上设置两个 (或更多) 安装 Windows NT 或 Windows 2000。 此设施的另一个可能用途是虚拟来宾，在其中你带回较旧的快照或磁盘映像，并且你希望避免必须重新加入计算机到域。