多站点环境下bad password count规则及跨DC账户锁定机制问询

这个问题问得非常到位，很多刚接触多站点AD架构的朋友都会有这个疑惑——毕竟跨站点的域控制器（DC）看起来相对独立，怎么能精准累计坏密码尝试次数并触发锁定呢？结合你给出的场景（3个站点各错1次，阈值3），我来拆解背后的机制：

核心逻辑：PDC模拟器是账户锁定的「权威中心」 #

在Active Directory域环境中，**PDC模拟器（PDC Emulator）**是域内负责账户锁定规则执行的核心角色，所有的坏密码尝试都会最终汇总到这里统一计数，而不是由各个站点的DC各自为政。

跨站点坏密码计数的具体流程（对应你的场景） #

• 当用户在Site A的DC输入错误密码时：
  Site A的DC会先记录本次失败尝试到本地数据库，同时立即将这个失败事件上报给域内的PDC模拟器。PDC会把该用户的累计坏密码次数更新为1。
• 接着用户在Site B的DC输入错误密码：
  Site B的DC同样先记录本地失败，然后上报PDC。PDC将累计次数更新为2。
• 最后用户在Site C的DC输入错误密码：
  Site C的DC上报PDC后，累计次数达到了你设置的阈值3。此时PDC模拟器会立即触发账户锁定操作，同时通过AD的紧急复制机制将账户锁定的状态同步到所有域控制器（包括三个站点的DC），确保无论用户在哪个站点尝试登录，都会看到账户已锁定的结果。

补充细节：为什么不会出现计数不同步的情况？ #

每个DC在处理登录请求时，都会先向PDC查询该用户当前的最新坏密码计数，而不是只依赖本地存储的旧数据。这就避免了跨站点尝试时，各DC计数不一致的问题，保证了阈值判断的准确性。

备注：内容来源于stack exchange，提问作者Sandy Santhosh