已知AD用户当前凭据，修改密码遇密码策略错误如何解决？

需要实现已知AD用户当前凭据时修改其密码的功能，尝试了两种方式：

1. 使用UserPrincipal的示例代码（见下文）
2. 调用NetAPI32.NetUserChangePassword()

两种方式均报错：

密码不符合密码策略要求。请检查最小密码长度、密码复杂性和密码历史记录要求。

已在组策略中关闭所有密码检查，动态生成的新密码示例为：eAV*{T(w2?-tr)orRxHvLi@50，域环境为Windows Server 2008和Windows Server 2012 AD，结果一致。

尝试过模拟身份验证，也直接使用域管理员账号操作，仍返回错误码2245。

相关代码：

bool ChangeDomainPassword(string domain, string username, string currentPassword, string newPassword)
{
    try
    {
        using (PrincipalContext context = new PrincipalContext(ContextType.Domain, domain))
        {
            // 验证当前凭据
            if (context.ValidateCredentials(username, currentPassword))
            {
                using (UserPrincipal user = UserPrincipal.FindByIdentity(context, System.DirectoryServices.AccountManagement.IdentityType.SamAccountName, username))
                {
                    if (user != null)
                    {
                        // 修改密码
                        user.ChangePassword(currentPassword, newPassword);
                        user.Save();

                        return true;
                    }
                    else
                    {
                        Console.WriteLine("未找到用户。");
                    }
                }
            }
            else
            {
                Console.WriteLine("当前凭据无效。");
            }
        }
    }
    catch (Exception ex)
    {
        Console.WriteLine($"错误: {ex.Message}");
    }

    return false;
}

1. 确认实际生效的域密码策略 #

组策略配置后可能未正确应用，需要验证实际生效规则：

• 在域控制器上执行net accounts命令，查看输出中的最小密码长度、密码复杂性要求、密码历史记录长度是否均为关闭/0值
• 执行gpresult /R检查组策略应用状态，确认密码策略相关的GPO已成功应用到目标用户/计算机

2. 检查用户的精细密码策略（FGPP） #

即使域级密码策略关闭，用户可能被单独分配了精细密码策略：

• 打开Active Directory管理中心，找到目标用户，查看其密码设置属性，确认没有被分配任何自定义密码策略
• 用PowerShell命令排查：

  Get-ADUserResultantPasswordPolicy -Identity "用户名"
  

  如果返回结果，说明用户有单独的密码策略，需要调整该策略的设置

3. 验证密码本身的合规性 #

• 测试一个极简密码（比如Test123!，如果策略关闭应该允许），如果修改成功，说明动态生成的密码可能触发了隐藏限制（比如包含用户名片段、某些特殊字符被拦截）
• 检查动态密码是否包含用户名的部分字符，部分域环境默认会禁止密码包含用户名

4. 代码层面优化 #

• 构造PrincipalContext时指定具体的域控制器，避免上下文自动选择的问题：

  using (PrincipalContext context = new PrincipalContext(ContextType.Domain, "dc.yourdomain.com", "CN=Users,DC=yourdomain,DC=com"))
  

• 使用DirectoryEntry直接操作AD，可能会提供更明确的错误信息：

  using (DirectoryEntry entry = new DirectoryEntry($"LDAP://dc.yourdomain.com/CN={username},CN=Users,DC=yourdomain,DC=com", username, currentPassword))
  {
      entry.Invoke("SetPassword", newPassword);
      entry.CommitChanges();
  }
  

内容的提问来源于stack exchange，提问作者Iunknown