今天美國哪邊的同事說，他們哪邊的用戶不能自行修改域用戶的密碼。了解了大半天的情況后，我想到了GPO（組策略），到微軟找了找，找到了一個KB，可以實現(xiàn)Windows 2000/2003下如何使用組策略禁止用戶修改密碼，取消反之。具體的方法主要如下：

1. 通過使用“Microsoft 管理控制臺”(MMC) 來啟動“Active Directory 用戶和計算機”管理單元。操作方法：單擊 開始 ，單擊 運行 ，鍵入 mmc ，然后單擊 確定 。在 文件 菜單上，依次單擊 添加/刪除管理單元 、 添加 、 Active Directory 用戶和計算機 、 添加 、 關(guān)閉 ，然后單擊 確定 。現(xiàn)在，在控制臺的左窗格中應(yīng)該看到該管理單元。 2. 展開該管理單元，然后右鍵單擊要對其實施新密碼更改策略的域或組織單元，然后單擊 屬性 。 3. 單擊 組策略 選項卡，單擊要使用的“組策略對象”(GPO)，然后單擊 編輯 。如果在窗口中未列出現(xiàn)有策略，請單擊 新建 以創(chuàng)建一個您可以為其選擇名稱的新策略，然后單擊 編輯 。 4. 展開該策略，然后展開“用戶配置”節(jié)點。展開“管理模板”節(jié)點，然后展開“系統(tǒng)”節(jié)點。 5. 單擊 登錄/注銷 節(jié)點。 6. 右鍵單擊 禁用更改密碼 策略，然后單擊 屬性 。 7. 在 策略 選項卡上，單擊 啟用 選項，然后單擊 確定 。 8. 關(guān)閉“組策略”窗口，然后退出“Active Directory 用戶和計算機”控制臺。 9. 在命令提示符下，鍵入 secedit /refreshpolicy user_policy /enforce ，然后按 ENTER 鍵以更新該策略。 備注 ： 默認情況下，在域級別應(yīng)用于用戶或計算機的策略將會應(yīng)用到該域中的所有用戶和/或所有計算機。默認情況下，應(yīng)用于組織單元的策略將會應(yīng)用到駐留在該組織單 元以及可能存在的任何子組織單元中的所有用戶帳戶和/或計算機帳戶。用戶帳戶必須移入該組織單元或在其中創(chuàng)建，才會應(yīng)用策略。如果只是給組織單元添加用戶 可能是其成員的安全組，將不會對該用戶應(yīng)用策略。

二.如何對一名或多名特定用戶禁用“更改密碼”按鈕

必須在用戶計算機上執(zhí)行以下步驟：1. 在命令提示符下，鍵入 regedit ，然后按 ENTER 鍵。 2. 查看下面的注冊表項： HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPolicIEs 3. 單擊 System 項（如果它存在）。如果該項不存在，請單擊 編輯 菜單中的 新建 ，然后單擊 項 以創(chuàng)建一個稱為“New Key #1”的新文件夾值。將 New Key #1 值重命名為 System 。 4. 單擊 System 項。在 編輯 菜單上，指向 新建 ，然后單擊 DWord 值 。將 New Key #1 項重命名為 DisableChangePassword ，按 ENTER 鍵，然后再次按 ENTER 鍵。 5. 將值從 0 更改為 1 。 6. 退出“注冊表編輯器”。按 CTRL+ALT+DELETE 組合鍵，即可看到現(xiàn)在無法使用 更改密碼 按鈕了。

P.S:微軟KB： A.如何在 Windows 2000 中防止用戶在非必要情況下更改密碼 http://support.microsoft.com/default.aspx?scid=kb;zh-en;309799

B.HOW TO：在 Windows Server 2003 中防止用戶在非必要情況下更改密碼 http://support.microsoft.com/default.aspx?scid=kb;zh-cn;324744