MAB设备用户账户创建时密码策略强制生效及DC密码策略影响范围的问题咨询

我太懂你这种卡壳的憋屈感了——明明特意给MAB设备的用户账户建了独立OU，还开了阻止继承想绕开密码策略，结果创建账户时还是被默认的密码规则卡得死死的，又不敢随便关掉全局的密码策略，属实两难。

先给你掰明白为啥阻止继承没用：咱们平时依赖的默认域密码策略（就是Default Domain Policy那个GPO）是AD里的特殊存在，它的作用范围是整个域的所有用户账户，根本不吃OU的阻止继承那一套——不管你把用户账户放到哪个OU里，只要是域用户，默认都会被这个政策管控。你提到的域控上的密码策略，其实是针对域控计算机账户的规则，和用户账户的密码要求半毛钱关系都没有，这部分不用纠结。

那不用关全局策略的话，怎么解决这个问题？给你两个靠谱的实操方案：

• 用精细密码策略（FGPP）：这是AD专门用来针对特定用户/组做自定义密码规则的工具，优先级比默认域密码策略高，完全是为这种场景设计的。操作步骤很清晰：

  1. 先把所有要创建的MAB设备用户账户归到一个安全组里，比如建个MAB_Device_Accounts组，后续的MAB账户直接加进来就行
  2. 打开AD管理中心（ADAC），找到「系统」下的「密码设置容器」，新建一个密码设置对象（PSO）
  3. 在PSO里设置匹配MAC地址的规则：比如密码长度设成12位（对应去掉冒号的MAC地址长度），关闭密码复杂性要求，按需设置密码永不过期
  4. 把这个PSO绑定到刚才的MAB安全组，这样组里的所有账户都会自动套用这个自定义策略，彻底绕过默认域的密码限制

• 临时创建账户的快捷操作：如果你只是偶尔创建几个MAB账户，也可以用PowerShell直接创建，命令示例如下：

  New-ADUser -Name "MAB-XX-XX-XX-XX-XX-XX" -AccountPassword (ConvertTo-SecureString "xxxxx" -AsPlainText -Force) -PasswordNeverExpires $true -Path "OU=MAB Devices,DC=yourdomain,DC=com"
  

  不过要注意，这个操作的前提是你已经通过FGPP给目标组/账户开了权限，否则还是会被默认策略拦截。

最后再补个关键提醒：别在OU的GPO继承上死磕了，默认域密码策略的应用逻辑是绑定到域容器的，和OU层级的继承规则完全不搭边，阻止继承只对那些链接到OU的普通GPO有用。

备注：内容来源于stack exchange，提问作者JukEboX