转载自：http://gnaw0725.blogbus.com/logs/61421803.html

windows 2008 r2 AD密码策略。新装了一台windows 2008 r2 AD。发现密码策略是灰色的，难道是因为一台的关系吗？？我查看域安全策略及域default策略，都是没有定义！！在域控制器上，执行本地策略，发现都是灰色，没法设置？？这是为何？？

回答：下面请允许我简单介绍一下组策略，组策略分为两种： 本地组策略和域组策略。
本地组策略
本地组策略是指应用于本机，且设定后只会在本机起作用的策略，运行的方法为点开始 – 运行 – 然后键入gpedit.msc，在弹出本地组策略编辑器中即可进行设置。您看到的文章来自活动目录seo http://gnaw0725.blogbus.com/c1404552/
域组策略
域组策略是指应用于站点，域或者组织单元(OUs)的策略，它的最终作用对象通常是多个用户或者计算机，可以在DC上点开始 – 运行 – 然后键入gpmc.msc来运行。
针对您的问题，密码策略是属于域级别的策略，必须在默认域策略或链接到根域的新策略中定义。所以虽然您可以在Default domain controller policy 中定义密码策略，但是因为Default domain controller policy只应用到了domain controllers OU而不是整个域，所以在Default domain controller policy 中定义密码策略是无效的。 另外由于域组策略的优先级高于本地组策略的优先级，在域密码策略应用并生效后，所有已经加入域的电脑（包括DC）的本地策略中，密码相关设置都会变成灰色不可修改状态。
从您第一次上传的截图来看，您打开的是本地策略，在本地策略中的，密码策略就应该是灰色的，无法编辑。这是因为当一台服务器被提升为域控制器后，本地策略不再有效，取而代之的是默认域策略。当我们点击开始 – 运行 – 然后键入gpedit.msc回车后，本地策略编辑器就会被打开。而由于域组策略的优先级高于本地组策略的优先级，所有在域组策略中已经设定过的策略都将变为灰色不可修改状态（比如密码策略）。
如果您要修改密码策略，您可以使用以下方法：您看到的文章来自活动目录seo http://gnaw0725.blogbus.com/c1404552/
1．点击开始 – 运行 – 然后键入gpmc.msc，回车后打开“组策略管理”控制台。
2．展开到 “域 -> Domain.com -> 组策略对象（Domain.com是指您的域名）”。
3．右键点击Default Domain Policy然后选择“编辑”。
4.  展开到“计算机配置 -> 策略-> Windows 设置 -> 安全设置 -> 账户策略 - > 密码策略”。
5．您可以在右边的窗口中定义密码相关的策略，此策略会应用于整个域中的所有账户。

更多域级别策略的相关说明，您可以参考下面的文章：您看到的文章来自活动目录seo http://gnaw0725.blogbus.com/c1404552/
域级别策略
https://www.microsoft.com/china/technet/security/topics/serversecurity/tcg/tcgch02n.mspx
苏伟 微软全球技术支持中心

组策略的更多文章请参考 组策略group policy专题

windows server 2008的更多文章请参考 Windows 2008专题