账户锁定阈值推荐3～5次，自动解锁时间推荐15～30分钟；阈值3次适用于高敏感系统，5次适合终端用户多的场景；自动解锁设为0需配套快速响应机制；策略须配置在域控制器GPO中并刷新生效。
账户锁定阈值和自动解锁时间是windows域环境中防止暴力破解的关键安全策略，配置不当会导致运维困扰（如批量账户被锁）或安全风险（如阈值过高形同虚设）。核心原则是：在保障业务连续性前提下，让攻击者难以通过撞库得手。
账户锁定阈值：设多少才合理？
该策略定义用户连续输入错误密码多少次后账户被锁定。默认值通常为0（禁用），生产环境必须启用。
- 推荐范围：3～5次——兼顾安全性与误操作容忍度。3次适合高敏感系统（如域控、财务系统）；5次更适合终端用户较多、密码复杂度不高或存在共享账号的场景。
- 避免设为1次：键盘误触、Caps Lock开启、远程桌面缓存旧密码等情况极易触发锁定，增加支持工单量。
- 不建议超过10次：给攻击者留出足够尝试空间，尤其当密码策略宽松（如无复杂度要求、长度短）时，10次可能覆盖常见弱口令组合。
自动解锁时间：锁多久才平衡？
指账户被锁定后，经过多长时间自动恢复可用状态（无需管理员手动重置）。该设置与“账户锁定持续时间”不同——后者仅在勾选“重置账户锁定计数器”时生效，而自动解锁时间是独立控制项。
- 推荐值：15～30分钟——既能阻断短时爆破（多数工具在1分钟内完成千次尝试），又不会让普通用户等待过久。
- 设为0表示“永不自动解锁”，必须依赖管理员干预。适用于特权账户（如Domain Admins成员），但需配套建立快速响应机制（如短信告警+自助解锁入口）。
- 慎用“账户锁定持续时间”+“重置计数器”组合：若两者均启用且时间不一致（如锁定持续15分钟，计数器重置却设为30分钟），逻辑易混淆，建议保持二者数值一致或仅启用自动解锁时间。
策略部署位置与继承优先级
这些设置位于组策略对象（GPO）中，路径为：计算机配置 → 策略 → Windows设置 → 安全设置 → 账户策略 → 账户锁定策略。注意：
- 仅对域控制器上的默认域策略或链接到域根OU的GPO生效，本地安全策略无效。
- 若多个GPO同时配置账户锁定策略，以最后应用的GPO为准（按链接顺序+强制继承判断），而非最具体OU的GPO——这是常见误解。
- 修改后需运行gpupdate /force并重启或等待刷新周期（默认90分钟+随机偏移），锁定策略变更才对新登录生效。
配套建议：让策略真正落地
单独调参数不够，还需结合其他措施形成闭环：
- 启用Windows事件日志审核（特别是4740账户锁定事件），配合SIEM工具告警，定位高频锁定源IP或主机。
- 对服务账户、脚本账户使用密码永不过期+禁用交互式登录，避免因密码过期导致自动锁定。
- 向用户推送密码重置自助门户（如Azure AD Self-Service Password Reset），减少IT支持压力，也降低因反复输错引发的连锁锁定。
