域组策略中“账户锁定策略”无法设定

Question

域组策略中“账户锁定策略”无法设定

匿名

尊敬的微软，您好！

  我安装windows2022 std并配置为域控制器，做域组策略测试，发现无法定义这个策略，具体如下：

我在域控上进入【组策略管理】/Best2.com下的Default Domain Policy/右键“编辑”，进入【组策略管理编辑器】/计算机配置/策略/Windows设置/安全设置/账户策略/账户锁定策略，然后右侧的“账户锁定时间”，输入时间10分，然后点【确定】，就弹出窗口“建议的数值改动”，但这个窗口中的【确定】无法使用，这个策略也无法设置，是怎么回事呢？如图：

锁定的问题。此问题已从 Microsoft 支持社区迁移。你可投票决定它是否有用，但不能添加评论或回复，也不能关注问题。为了保护隐私，对于已迁移的问题，用户个人资料是匿名的。

10 个答案

Answer 1

您好，微软同志！

 您好，我真的很急了。这个问题拖了好几天了，我希望当天提出的问题能够在当天看到您的回复。我觉得就是windows 2022系统本身的问题。**补充一点：在windows 2008 R2 域控系统上上，都正常的。**

****

请问您编辑任何组策略对象，也是不能设置密码策略里的那两条策略，对吗？

答：这个已经回复过您了。最初是在系统自带的策略(就是Default那个策略)上不能设置，再后来又格式掉重装系统，然后又手动创建了“销售部”并在其上手动创建了GPO(这是在另一台电脑上安装同一个版本的windows2022)，发现问题依旧。

您可以打开域控上的本地策略，可以编辑之前不能编辑的策略设置吗？

答：域控上的本地策略如下图可以编辑的。但我不需要编辑这个本地策略。

您尝试运行Dcdiag /v看看是否有任何保存信息呢？

答：

C:\Users\Administrator.WIN2022>dcdiag /v

目录服务器诊断

正在执行初始化设置:

正在尝试查找主服务器...

* 正在验证本地计算机 WIN2022 是否为目录服务器。

主服务器 = WIN2022

* 正在连接到服务器 WIN2022 上的目录服务。

* 已识别的 AD 林。

Collecting AD specific global data

* 正在收集站点信息。

Calling ldap_search_init_page(hld,CN=Sites,CN=Configuration,DC=best2,DC=com,LDAP_SCOPE_SUBTREE,(objectCategory=ntDSSiteSettings),.......

The previous call succeeded

Iterating through the sites

Looking at base site object: CN=NTDS Site Settings,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=best2,DC=com

Getting ISTG and options for the site

* 正在标识所有服务器。

Calling ldap_search_init_page(hld,CN=Sites,CN=Configuration,DC=best2,DC=com,LDAP_SCOPE_SUBTREE,(objectClass=ntDSDsa),.......

The previous call succeeded....

The previous call succeeded

Iterating through the list of servers

Getting information for the server CN=NTDS Settings,CN=WIN2022,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=best2,DC=com

objectGuid obtained

InvocationID obtained

dnsHostname obtained

site info obtained

All the info for the server collected

* 标识所有 NC 交叉引用。

* 找到 1 DC。正在测试其中的 1。

已完成收集初始化信息。

正在进行所需的初始化测试

正在测试服务器: Default-First-Site-Name\WIN2022

  开始测试: Connectivity 

     \* Active Directory LDAP Services Check 

     Determining IP4 connectivity 

     \* Active Directory RPC Services Check 

     ......................... WIN2022 已通过测试 Connectivity

正在执行主要测试

正在测试服务器: Default-First-Site-Name\WIN2022

  开始测试: Advertising 

     The DC WIN2022 is advertising itself as a DC and having a DS. 

     The DC WIN2022 is advertising as an LDAP server 

     The DC WIN2022 is advertising as having a writeable directory 

     The DC WIN2022 is advertising as a Key Distribution Center 

     The DC WIN2022 is advertising as a time server 

     The DS WIN2022 is advertising as a GC. 

     ......................... WIN2022 已通过测试 Advertising 

  用户请求忽略的测试: CheckSecurityError 

  用户请求忽略的测试: CutoffServers 

  开始测试: FrsEvent 

     \* 文件复制服务事件日志测试 

     跳过该测试，因为服务器正在运行 DFSR。 

     ......................... WIN2022 已通过测试 FrsEvent 

  开始测试: DFSREvent 

     The DFS Replication Event Log. 

     ......................... WIN2022 已通过测试 DFSREvent 

  开始测试: SysVolCheck 

     \* 该文件复制服务 SYSVOL 已准备好测试 

     文件复制服务的 SYSVOL 已就绪 

     ......................... WIN2022 已通过测试 SysVolCheck 

  开始测试: KccEvent 

     \* The KCC Event log test 

     Found no KCC errors in "Directory Service" Event log in the last 15 minutes. 

     ......................... WIN2022 已通过测试 KccEvent 

  开始测试: KnowsOfRoleHolders 

     Role Schema Owner = CN=NTDS Settings,CN=WIN2022,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=best2,DC=com 

     Role Domain Owner = CN=NTDS Settings,CN=WIN2022,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=best2,DC=com 

     Role PDC Owner = CN=NTDS Settings,CN=WIN2022,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=best2,DC=com 

     Role Rid Owner = CN=NTDS Settings,CN=WIN2022,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=best2,DC=com 

     Role Infrastructure Update Owner = CN=NTDS Settings,CN=WIN2022,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=best2,DC=com 

     ......................... WIN2022 已通过测试 KnowsOfRoleHolders 

  开始测试: MachineAccount 

     Checking machine account for DC WIN2022 on DC WIN2022. 

     \* SPN found :LDAP/WIN2022.best2.com/best2.com 

     \* SPN found :LDAP/WIN2022.best2.com 

     \* SPN found :LDAP/WIN2022 

     \* SPN found :LDAP/WIN2022.best2.com/BEST2 

     \* SPN found :LDAP/7c08d950-b0bb-45e7-98fc-8fd0169c0734.\_msdcs.best2.com 

     \* SPN found :E3514235-4B06-11D1-AB04-00C04FC2DCD2/7c08d950-b0bb-45e7-98fc-8fd0169c0734/best2.com 

     \* SPN found :HOST/WIN2022.best2.com/best2.com 

     \* SPN found :HOST/WIN2022.best2.com 

     \* SPN found :HOST/WIN2022 

     \* SPN found :HOST/WIN2022.best2.com/BEST2 

     \* SPN found :GC/WIN2022.best2.com/best2.com 

     ......................... WIN2022 已通过测试 MachineAccount 

  开始测试: NCSecDesc 

     \* Security Permissions check for all NC's on DC WIN2022. 

     \* 安全权限检查 

       DC=ForestDnsZones,DC=best2,DC=com 

        (NDNC,Version 3) 

     \* 安全权限检查 

       DC=DomainDnsZones,DC=best2,DC=com 

        (NDNC,Version 3) 

     \* 安全权限检查 

       CN=Schema,CN=Configuration,DC=best2,DC=com 

        (Schema,Version 3) 

     \* 安全权限检查 

       CN=Configuration,DC=best2,DC=com 

        (Configuration,Version 3) 

     \* 安全权限检查 

       DC=best2,DC=com 

        (Domain,Version 3) 

     ......................... WIN2022 已通过测试 NCSecDesc 

  开始测试: NetLogons 

     \* Network Logons Privileges Check 

     Verified share \\WIN2022\netlogon 

     Verified share \\WIN2022\sysvol 

     ......................... WIN2022 已通过测试 NetLogons 

  开始测试: ObjectsReplicated 

     WIN2022 is in domain DC=best2,DC=com 

     Checking for CN=WIN2022,OU=Domain Controllers,DC=best2,DC=com in domain DC=best2,DC=com on 1 servers 

        Object is up-to-date on all servers. 

     Checking for CN=NTDS Settings,CN=WIN2022,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=best2,DC=com in domain CN=Configuration,DC=best2,DC=com on 1 servers 

        Object is up-to-date on all servers. 

     ......................... WIN2022 已通过测试 ObjectsReplicated 

  用户请求忽略的测试: OutboundSecureChannels 

  开始测试: Replications 

     \* Replications Check 

     \* Replication Latency Check 

     ......................... WIN2022 已通过测试 Replications 

  开始测试: RidManager 

     \* Available RID Pool for the Domain is 1600 to 1073741823 

     \* WIN2022.best2.com is the RID Master 

     \* DsBind with RID Master was successful 

     \* rIDAllocationPool is 1100 to 1599 

     \* rIDPreviousAllocationPool is 1100 to 1599 

     \* rIDNextRID: 1128 

     ......................... WIN2022 已通过测试 RidManager 

  开始测试: Services 

     \* Checking Service: EventSystem 

     \* Checking Service: RpcSs 

     \* Checking Service: NTDS 

     \* Checking Service: DnsCache 

     \* Checking Service: DFSR 

     \* Checking Service: IsmServ 

     \* Checking Service: kdc 

     \* Checking Service: SamSs 

     \* Checking Service: LanmanServer 

     \* Checking Service: LanmanWorkstation 

     \* Checking Service: w32time 

     \* Checking Service: NETLOGON 

     ......................... WIN2022 已通过测试 Services 

  开始测试: SystemLog 

     \* The System Event log test 

     发生了一个警告事件。EventID: 0x0000000F 

        生成时间: 12/06/2024   08:24:11 

        事件字符串: 已配置 Credential Guard 和/或 VBS 密钥隔离，但安全内核未运行;继续而不使用它们。 

     发生了一个警告事件。EventID: 0x000003F6 

        生成时间: 12/06/2024   08:24:21 

        事件字符串: 在没有配置的 DNS 服务器响应之后，名称 \_ldap.\_tcp.dc.\_msdcs.best2.com. 的名称解析超时。 

     发生了一个警告事件。EventID: 0x800009CF 

        生成时间: 12/06/2024   08:24:28 

        事件字符串: 

        服务器服务无法重新创建 新建文件夹 (9) 共享关系，因为 E:\新建文件夹 (9) 目录已不再存在。请运行 "net share 新 建文件夹 (9) /delete" 来删除此共享，或重新创建目录 E:\新建文件夹 (9)。 

     发生了一个警告事件。EventID: 0x000003F6 

        生成时间: 12/06/2024   08:24:33 

        事件字符串: 在没有配置的 DNS 服务器响应之后，名称 \_ldap.\_tcp.dc.\_msdcs.best2.com. 的名称解析超时。 

     发生了一个警告事件。EventID: 0x000727AA 

        生成时间: 12/06/2024   08:24:46 

        事件字符串: 

        WinRM 服务无法创建以下 SPN: WSMAN/WIN2022.best2.com; WSMAN/WIN2022。 

         附加数据 

         收到的错误为 1355: %%1355。 

         用户操作 

         SPN 可以由管理员使用 setspn.exe 实用工具创建。 

     发生了一个警告事件。EventID: 0x0000000C 

        生成时间: 12/06/2024   08:24:58 

        事件字符串: 

        时间提供程序 NtpClient: 此机器配置为用域层级确定它的时间源，但它已经是在林的根目录域的 AD PDC 仿真，因此在域层级没有机器在它上面以用作时间源。建议你在根域上配置一个可靠的时间服务，或者手动配置 AD PDC 与外部时间源同步。否则，此机器将在域层级中作为权威的时间源。如果没有为此计算机配置或使用外部时间源，你可以选择禁用 NtpClient。 

     发生了一个警告事件。EventID: 0x000003F6 

        生成时间: 12/06/2024   08:27:11 

        事件字符串: 在没有配置的 DNS 服务器响应之后，名称 settings-win.data.microsoft.com 的名称解析超时。 

     发生了一个警告事件。EventID: 0x00002720 

        生成时间: 12/06/2024   08:38:12 

        事件字符串: 

        应用程序-特定 权限设置并未向在应用程序容器 不可用 SID (不可用)中运行的地址 LocalHost (使用 LRPC) 中的用户 BEST2\Administrator SID (S-1-5-21-3206044486-2608183649-2133823605-500)授予针对 CLSID 为 

        {21B896BF-008D-4D01-A27B-26061B960DD7} 

        、APPID 为 

        {03E09F3B-DCE4-44FE-A9CF-82D050827E1C} 

         的 COM 服务器应用程序的 本地 启动 权限。此安全权限可以使用组件服务管理工具进行修改。 

     Found no errors in "System" Event log in the last 60 minutes. 

     ......................... WIN2022 已通过测试 SystemLog 

  用户请求忽略的测试: Topology 

  用户请求忽略的测试: VerifyEnterpriseReferences 

  开始测试: VerifyReferences 

     系统对象参考(serverReference) CN=WIN2022,OU=Domain Controllers,DC=best2,DC=com 和 

     CN=WIN2022,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=best2,DC=com 上的反向链接正确。 

     系统对象参考(serverReferenceBL) 

     CN=WIN2022,CN=Topology,CN=Domain System Volume,CN=DFSR-GlobalSettings,CN=System,DC=best2,DC=com 和 

     CN=NTDS Settings,CN=WIN2022,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=best2,DC=com 

     上的反向链接正确。 

     系统对象参考(msDFSR-ComputerReferenceBL) 

     CN=WIN2022,CN=Topology,CN=Domain System Volume,CN=DFSR-GlobalSettings,CN=System,DC=best2,DC=com 和 

     CN=WIN2022,OU=Domain Controllers,DC=best2,DC=com 上的反向链接正确。 

     ......................... WIN2022 已通过测试 VerifyReferences 

  用户请求忽略的测试: VerifyReplicas 

  用户请求忽略的测试: DNS 

  用户请求忽略的测试: DNS

正在 ForestDnsZones

上运行分区测试 

  开始测试: CheckSDRefDom 

     ......................... ForestDnsZones 已通过测试 CheckSDRefDom 

  开始测试: CrossRefValidation 

     ......................... ForestDnsZones 已通过测试 CrossRefValidation

正在 DomainDnsZones

上运行分区测试 

  开始测试: CheckSDRefDom 

     ......................... DomainDnsZones 已通过测试 CheckSDRefDom 

  开始测试: CrossRefValidation 

     ......................... DomainDnsZones 已通过测试 CrossRefValidation

正在 Schema

上运行分区测试 

  开始测试: CheckSDRefDom 

     ......................... Schema 已通过测试 CheckSDRefDom 

  开始测试: CrossRefValidation 

     ......................... Schema 已通过测试 CrossRefValidation

正在 Configuration

上运行分区测试 

  开始测试: CheckSDRefDom 

     ......................... Configuration 已通过测试 CheckSDRefDom 

  开始测试: CrossRefValidation 

     ......................... Configuration 已通过测试 CrossRefValidation

正在 best2

上运行分区测试 

  开始测试: CheckSDRefDom 

     ......................... best2 已通过测试 CheckSDRefDom 

  开始测试: CrossRefValidation 

     ......................... best2 已通过测试 CrossRefValidation

正在 best2.com

上运行企业测试 

  用户请求忽略的测试: DNS 

  用户请求忽略的测试: DNS 

  开始测试: LocatorCheck 

     GC 名称: \\WIN2022.best2.com 

     Locator Flags: 0xe003f3fd 

     PDC Name: \\WIN2022.best2.com 

     Locator Flags: 0xe003f3fd 

     Time Server Name: \\WIN2022.best2.com 

     Locator Flags: 0xe003f3fd 

     Preferred Time Server Name: \\WIN2022.best2.com 

     Locator Flags: 0xe003f3fd 

     KDC Name: \\WIN2022.best2.com 

     Locator Flags: 0xe003f3fd 

     ......................... best2.com 已通过测试 LocatorCheck 

  开始测试: Intersite 

     正在跳过站点 Default-First-Site-Name，该站点位于给定命令 行参数提供的范围之外。 

     ......................... best2.com 已通过测试 Intersite

C:\Users\Administrator.WIN2022>

您是台式机还是笔记本，建议您换一个鼠标或者键盘，然后试试是否可以点击确定按钮。

答：是台式机。之前跟您说过，我格掉重装，就是在家里另外一台电脑上做的测试，不可能两台电脑两个键盘和两个鼠标都有问题，那也太巧了。换了一个鼠标问题依旧。

Answer 2

尊敬的客户，您好！

很抱歉，您先别着急。

下面的问题，我之前咨询的是“不能编辑账号锁定策略”，后来又咨询“不能编辑密码策略的问题”。

我本来想测试看看的，后来发现我的测试环境并没有2022标准版本的服务器，所以我还不能来测试您的这个问题。

1.您那边还有其他的2022标准版本的服务器或者域控吗？有的话，您可以检查看看也有相同的问题吗？

2.您先不要安装ADDS的，就是一台普通的服务器，是否可以编辑本地策略里的密码策略和账号锁定策略。

3.您是否在这台服务器上安装了DNS，如果安装了ADDS，也建议您安装DNS，并且设置静态IP地址，DNS指向自己的IP或者127.0.0.1

4.最后如果都不能解决的话，建议您先反馈一下问题，在任何一台win10或者win11的机器上，打开Feedback Hub可以反馈问题。

Best Regards,
Daisy Zhou

Answer 3

1.您那边还有其他的2022标准版本的服务器或者域控吗？有的话，您可以检查看看也有相同的问题吗？

答：这个问题就是在两台电脑上出现的同样的问题。

2.您先不要安装ADDS的，就是一台普通的服务器，是否可以编辑本地策略里的密码策略和账号锁定策略。

答：本地是可以的。

3.您是否在这台服务器上安装了DNS，如果安装了ADDS，也建议您安装DNS，并且设置静态IP地址，DNS指向自己的IP或者127.0.0.1

答：是的，安装了DNS，指向了自己。

4.最后如果都不能解决的话，建议您先反馈一下问题，在任何一台win10或者win11的机器上，打开Feedback Hub可以反馈问题。

Answer 4

尊敬的微软同志您好！

我在win2022 Std DC里又添加配置了一台备份域控win2019 std,在win2019上这些问题不存在，都可以的，配置好后也能自动被复制到win2022的组策略里。所以应该是win2022系统本身的问题，而且我在另一台电脑上也安装了win2022 std DC 测试，问题依旧，因此我坚信是win2022 std 系统本身的问题。请尽快给我解决。下面是win2022 std 域控和 win2019 std备份域控的截图，win2022 std项目要多一点：

Answer 5

尊敬的客户，您好！

感谢您的回复和反馈。

建议您先在Feedback Hub反馈这个问题（如果还没有反馈的话）。

如果确实是系统本身的问题的话，那么其他的用户可能也有这个问题。

我相信微软知道这个问题的话，肯定会尽快修复的。

感谢您的理解和支持。

Best Regards,
Daisy Zhou