步骤1创建PSO.docxVIP

步骤 1：创建 PSO更新时间: 2007年8月应用到: Windows Server 2008创建 PSO您可以创建密码设置对象 (PSO)：使用 ADSI Edit使用 ldifde使用 ADSI Edit 创建 PSOActive Directory 服务界面编辑器 (ADSI?Edit) 提供了 Active Directory 域服务 (AD?DS) 林中全部对象和属性的视图。您可以使用 ADSI?Edit 查询、查看和编辑 AD?DS 对象和属性。Domain Admins中的成员身份或同等身份是完成此过程所需的最低要求。查看有关使用适当帐户和组成员关系的详细信息，请访问/fwlink/?LinkId=83477（可能为英文链接）。使用 ADSI Edit 创建 PSO 的步骤依次单击“开始”、“运行”，键入adsiedit.msc，然后单击“确定”。备注如果您是第一次在域控制器上运行 ADSI?Edit，则继续执行步骤?2。否则，继续执行步骤?4。在 ADSI Edit 管理单元中，右键单击ADSI Edit，然后单击“连接到”。在“名称”中，键入要在其中创建 PSO 的域的完全限定的域名 (FQDN)，然后单击“确定”。双击该域。双击DC=domain_name。双击CN=System。单击CN=Password Settings Container。会显示所选域中已创建的所有 PSO 对象。右键单击CN=Password Settings Container，单击“新建”，然后单击“对象”。在“创建对象”对话框的“选择类”下，单击msDS-PasswordSettings，然后单击“下一步”。在“值”中，键入新 PSO 的名称，然后单击“下一步”。继续该向导，为所有mustHave属性输入适当的值。重要事项若要禁用帐户锁定策略，请为msDS-LockoutThreshold属性分配值 0。备注若要避免 ADSI?Edit 出现错误，必须以 d:hh:mm:ss 格式（推荐）或 I8 格式为四个与时间相关的 PSO 属性（msDS-MaximumPasswordAge、msDS-MinimumPasswordAge、msDS-LockoutObservationWindow和msDS-LockoutDuration）输入值。请注意，仅在 Windows Server?2008 版本的 ADSI?Edit 中才能使用 d:hh:mm:ss 格式。有关如何将时间单位值转换为 I8 值的详细信息，请参阅附录 B：PSO 属性约束中的“负 PSO 属性值”。备注有关与时间相关的 PSO 属性的详细信息，请参阅附录 B：PSO 属性约束中的“PSO 属性参考完整性”。?属性名称描述可接受的值范围示例值msDS-PasswordSettingsPrecedence密码设置优先级大于 010msDS-PasswordReversibleEncryptionEnabled用户帐户的密码可还原的加密状态FALSE/TRUE（推荐：FALSE）FALSEmsDS-PasswordHistoryLength用户帐户的密码历史长度0 到 102424msDS-PasswordComplexityEnabled用户帐户的密码复杂性状态FALSE/TRUE（推荐：TRUE）TRUEmsDS-MinimumPasswordLength用户帐户的最短密码长度0 到 2558msDS-MinimumPasswordAge用户帐户的最短密码期限（无）00:00:00:00 到msDS-MaximumPasswordAge值1:00:00:00（1 天）msDS-MaximumPasswordAge用户帐户的最长密码期限（永不过期）msDS-MinimumPasswordAge值到（永不过期）不能将msDS-MaximumPasswordAge设置为零42:00:00:00（42 天）msDS-LockoutThreshold用户帐户锁定的锁定阈值0 到 6553510msDS-LockoutObservationWindow用户帐户锁定的观察窗口（无）00:00:00:01 到msDS-LockoutDuration值0:00:30:00（30 分钟）msDS-LockoutDuration锁定用户帐户的锁定持续时间（无）（永不过期）msDS-LockoutObservationWindow值到（永不过期）0:00:30:00（30 分钟）msDS-PSOAppliesTo到此密码设置对象所应用到的对象的链接（正向链接）用户或全局安全组的 0 个或多个 DN“CN=u1,CN=Users,DC=DC1,DC=contoso,DC=com”备注若要