关于域环境中OU差异化配置计算机账户密码策略及批量部署计算机域信任维护的技术咨询

嘿，这个需求太戳痛点了——批量预部署的电脑闲置几个月就丢域信任，手动一台台重新加域真的折腾人。你的思路完全可行，用**组织单元（OU）+ 组策略对象（GPO）**就能完美解决这个问题，下面给你一步步说怎么落地：

• 第一步：建个专门的"预部署电脑"OU
  别用默认的Computers容器，直接在域控制器上新建一个OU（比如命名为Pre-Provisioned PCs），专门放那些预加入域但暂时不用的电脑账户。只有OU才能直接链接GPO，普通容器做不到这一点，这是关键。

• 第二步：给这个OU配专属的密码禁用GPO
  新建一个GPO（比如叫No Password Change - Pre-Provisioned PCs），编辑的时候找到路径：计算机配置 > 策略 > Windows 设置 > 安全设置 > 本地策略 > 安全选项，然后改两个核心设置：

  • 域成员: 禁用计算机账户密码更改：设为已启用
  • 域成员: 计算机账户密码最长使用期限：设为0（代表永不过期）
    编辑完把这个GPO只链接到你刚建的预部署OU，绝对别链接到其他业务OU，避免影响正常电脑的策略。

• 第三步：批量加域时直接把电脑塞进这个OU
  不管你是用djoin命令做离线批量加域，还是通过ADUC导入CSV批量创建电脑账户，都指定目标OU为这个预部署OU。举个djoin命令的例子：

  djoin /provision /domain yourdomain.com /machine PC-001 /ou "OU=Pre-Provisioned PCs,DC=yourdomain,DC=com" /savefile PC-001.txt
  

  这样这些电脑的账户就会继承禁用密码更改的策略，闲置再久也不会因为密码过期丢域信任。

• 第四步：给用户用的时候迁移到工作OU
  等要把电脑交给用户时，直接在ADUC里把对应的电脑账户从预部署OU拖到你的"工作容器"（也就是正常业务用的OU）就行。电脑下次开机时会自动检测到OU变更，继承工作OU的正常密码策略，不用手动改任何配置，系统会自动切换回来。

额外注意事项 #

• 检查GPO的继承情况，必要时给预部署OU设置阻止继承，防止意外继承其他OU的密码策略；也可以用WMI筛选器进一步限制GPO只对预部署电脑生效。
• 迁移账户后让用户重启一次电脑，确保新的组策略能正常应用，避免出现策略延迟生效的问题。

备注：内容来源于stack exchange，提问作者Rich Kiroy