今天美國(guó)哪邊的同事說，他們哪邊的用戶不能自行修改域用戶的密碼。了解了大半天的情況后，我想到了GPO（組策略），到微軟找了找，找到了一個(gè)KB，可以實(shí)現(xiàn)Windows 2000/2003下如何使用組策略禁止用戶修改密碼，取消反之。具體的方法主要如下：

1. 通過使用“Microsoft 管理控制臺(tái)”(MMC) 來啟動(dòng)“Active Directory 用戶和計(jì)算機(jī)”管理單元。操作方法：?jiǎn)螕?開始 ，單擊 運(yùn)行 ，鍵入 mmc ，然后單擊 確定 。在 文件 菜單上，依次單擊 添加/刪除管理單元 、 添加 、 Active Directory 用戶和計(jì)算機(jī) 、 添加 、 關(guān)閉 ，然后單擊 確定 。現(xiàn)在，在控制臺(tái)的左窗格中應(yīng)該看到該管理單元。 2. 展開該管理單元，然后右鍵單擊要對(duì)其實(shí)施新密碼更改策略的域或組織單元，然后單擊 屬性 。 3. 單擊 組策略 選項(xiàng)卡，單擊要使用的“組策略對(duì)象”(GPO)，然后單擊 編輯 。如果在窗口中未列出現(xiàn)有策略，請(qǐng)單擊 新建 以創(chuàng)建一個(gè)您可以為其選擇名稱的新策略，然后單擊 編輯 。 4. 展開該策略，然后展開“用戶配置”節(jié)點(diǎn)。展開“管理模板”節(jié)點(diǎn)，然后展開“系統(tǒng)”節(jié)點(diǎn)。 5. 單擊 登錄/注銷 節(jié)點(diǎn)。 6. 右鍵單擊 禁用更改密碼 策略，然后單擊 屬性 。 7. 在 策略 選項(xiàng)卡上，單擊 啟用 選項(xiàng)，然后單擊 確定 。 8. 關(guān)閉“組策略”窗口，然后退出“Active Directory 用戶和計(jì)算機(jī)”控制臺(tái)。 9. 在命令提示符下，鍵入 secedit /refreshpolicy user_policy /enforce ，然后按 ENTER 鍵以更新該策略。 備注 ： 默認(rèn)情況下，在域級(jí)別應(yīng)用于用戶或計(jì)算機(jī)的策略將會(huì)應(yīng)用到該域中的所有用戶和/或所有計(jì)算機(jī)。默認(rèn)情況下，應(yīng)用于組織單元的策略將會(huì)應(yīng)用到駐留在該組織單 元以及可能存在的任何子組織單元中的所有用戶帳戶和/或計(jì)算機(jī)帳戶。用戶帳戶必須移入該組織單元或在其中創(chuàng)建，才會(huì)應(yīng)用策略。如果只是給組織單元添加用戶 可能是其成員的安全組，將不會(huì)對(duì)該用戶應(yīng)用策略。

二.如何對(duì)一名或多名特定用戶禁用“更改密碼”按鈕

必須在用戶計(jì)算機(jī)上執(zhí)行以下步驟：1. 在命令提示符下，鍵入 regedit ，然后按 ENTER 鍵。 2. 查看下面的注冊(cè)表項(xiàng)： HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPolicIEs 3. 單擊 System 項(xiàng)（如果它存在）。如果該項(xiàng)不存在，請(qǐng)單擊 編輯 菜單中的 新建 ，然后單擊 項(xiàng) 以創(chuàng)建一個(gè)稱為“New Key #1”的新文件夾值。將 New Key #1 值重命名為 System 。 4. 單擊 System 項(xiàng)。在 編輯 菜單上，指向 新建 ，然后單擊 DWord 值 。將 New Key #1 項(xiàng)重命名為 DisableChangePassword ，按 ENTER 鍵，然后再次按 ENTER 鍵。 5. 將值從 0 更改為 1 。 6. 退出“注冊(cè)表編輯器”。按 CTRL+ALT+DELETE 組合鍵，即可看到現(xiàn)在無法使用 更改密碼 按鈕了。

P.S:微軟KB： A.如何在 Windows 2000 中防止用戶在非必要情況下更改密碼 http://support.microsoft.com/default.aspx?scid=kb;zh-en;309799

B.HOW TO：在 Windows Server 2003 中防止用戶在非必要情況下更改密碼 http://support.microsoft.com/default.aspx?scid=kb;zh-cn;324744