1、在域控服务器中打开“服务器管理器”，点击右上方“工具”，打开“组策略编辑器”；

2、确定所控制域根目录下的默认策略“Default Domain Policy”设置，可在该策略中配置全域的默认策略：“密码必须符合复杂性要求”、“用可还原的加密来存储密码”、“最短密码长度”、“在此后重置账户锁定计数器”、“账户锁定时间”、“账户锁定阈值”、“提示用户在过期前更改密码”等； 注：若要针对该域下某OU设置其他或不同于默认密码的策略，不可直接在OU下创建组策略，直接创建不会生效。

3、打开AD管理器，选中域根目录，右键，选择“新建”、选择“组”； 4、填写组名“PasswordPolicy”，选择“全局”、“安全组”，“确定”；

5、搜索打开“运行”，输入“ADSIedit.msc”，回车；

6、可能打开后此处无任何连接（无域目录树），如有跳转至第7步，点击上方“操作”、点击“连接到”，选择红框中选项，输入域控地址及端口号，例如：“172.xx.xx.x:389”，其他不修改，点击确定；

7、选中“CN=system”下的“CN=Password Settings Container”，右键“新建”、“对象”，直接“下一步”，后续步骤看下图；

8、点击完成，双击刚创建的“CN=passwordpolicy”，“属性编辑器”下找到“msDS-PSOAppliesTo”，双击，点击“添加Windows账户”，将第4步创建的全局安全组“PasswordPolicy”加入对象中，点击确定（后面都是确定）；

9、打开AD管理器，选中全局安全组“PasswordPolicy”，双击，在成员下添加域策略想要应用到的人或组；

10、运行打开cmd，输入“gpupdate /force”更新完成，策略即可应用。