如何禁用自动计算机帐户密码更改

10/09/2020

本文内容

本文介绍了管理员如何禁用自动计算机帐户密码更改。

适用于：  Windows 10 - 所有版本，Windows Server 2012 R2

原始 KB 编号：   154501

摘要

出于安全考虑，计算机帐户密码会定期更改。 默认情况下，在Windows NT的计算机上，计算机帐户密码每七天自动更改一次。 从基于 Windows 的计算机开始，计算机帐户密码每 30 天自动更改一次。

警告

如果禁用计算机帐户密码更改，则存在安全风险，因为安全通道用于传递身份验证。 如果有人发现密码，则他/她可能会执行到域控制器的传递身份验证。

更多信息

出于以下任一原因，您可能需要禁用默认的自动计算机帐户密码更改：

希望减少复制次数。 由于自动计算机帐户密码更改的副作用，具有许多客户端计算机和域控制器的域可能会导致频繁进行复制。 可以禁用自动计算机帐户密码更改以减少复制次数。

在双启动配置中Windows NT同一Windows安装两台单独的 Windows NT 2000 或 2000。 在这种情况下，在 Windows NT 或 Windows 2000 的两个安装之间共享同一计算机帐户的唯一方法就是使用加入域时创建的默认计算机帐户密码。

如果您经常执行 2000 Windows NT或 Windows 的干净安装，则必须在域上具有可以在域上创建计算机帐户的管理员。 如果这是一个问题，你可以将计算机帐户的密码保留为默认值。

可以通过将 DisablePasswordChange 注册表项设置为值 1 来禁用工作站上的计算机帐户 密码更改。 为此，请执行以下步骤。

重要

此部分(或称方法或任务)介绍了修改注册表的步骤。 但是，注册表修改不当可能会出现严重问题。 因此，请务必严格按照这些步骤操作。 为了加强保护，应先备份注册表，再进行修改。 如果出现问题，可以还原注册表。 有关详细信息，请参阅如何在 Windows 中备份和还原注册表。

启动 注册表编辑器。 为此，请选择"开始"，选择"运行"，在"打开"框中键入 regedit， 然后选择"确定 "。

找到并选择以下注册表子项： HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters

在右窗格中，选择 DisablePasswordChange 条目。

在"编辑 "菜单 上，选择"修改 "。

在"值数据"框中，键入值 1， 然后选择"确定 "。

退出 注册表编辑器。

在 Windows NT 4.0 版和 Windows 2000 版、Windows Server 2003、Windows Server 2008 和 Windows Server 2008 R2 中，可以通过在域中的所有域控制器(而不是在所有工作站上)将 "RefusePasswordChange" 注册表项设置为值 1 来禁用计算机帐户密码更改。 为此，请执行以下步骤。

备注

在 Windows NT 4.0 域控制器上，必须先在域中的所有备份域控制器 (BDC) 上将 RefusePasswordChange 注册表项更改为值 1， 然后才能在主域控制器 (PDC) 上更改。 如果不遵循此顺序，将导致在 PDC 的事件日志中记录事件 ID 5722。

重要

此部分(或称方法或任务)介绍了修改注册表的步骤。 但是，注册表修改不当可能会出现严重问题。 因此，请务必严格按照这些步骤操作。 为了加强保护，应先备份注册表，再进行修改。 如果出现问题，可以还原注册表。 有关详细信息，请参阅如何在 Windows 中备份和还原注册表。

启动注册表编辑器。 为此，请选择"开始"，选择"运行"，在"打开"框中键入 regedit，然后选择"确定 "。

找到并选择以下注册表子项： HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters

在"编辑" 菜单上，指向 "新建"， 然后选择 "DWORD 值"。

键入用于注册表项名称的 RefusePasswordChange，然后按 Enter。

在"编辑 "菜单 上，选择"修改 "。

在"值数据"框中，键入值 1，然后选择"确定 "。

退出注册表编辑器。

备注

在将拒绝密码更改 注册表项会导致域控制器仅拒绝来自运行 Windows NT 4.0 版或更高版本的工作站或成员服务器的密码更改请求。

如果将 一个值 1，则 当工作站或成员服务器首次尝试更改其计算机帐户密码后，如果以后尝试更改密码 (则返回不同的状态代码) 。 基于 Windows NT 4.0 的计算机将尝试在七天内再次更改其计算机帐户密码，基于 Windows 2000 的计算机将在 30 天后重试。 如果将 "数据拒绝"行注册表 项设置为 值 1， 则复制通信将停止，但不能停止客户端通信。 如果将 DisablePasswordChange 注册表项设置为 值 1， 客户端和复制通信都将停止。

如果禁用自动计算机帐户 (密码更改，可以在使用同一计算机帐户的同一计算机上设置两个或多个) Windows NT 或 Windows 2000 安装。 此设备的另一个可能用途是虚拟来宾，你可以在这里返回较旧的快照或磁盘映像，并且希望避免将计算机重新加入域。