改管理员密码的正确姿势

改密码看着是五秒钟的事，但改错账户、新密码不合策略、改完把自己关在门外，每一种都真实发生过。服务器上改管理员密码，值得按流程来。 ## 第一步：确认要改的是谁 先看清楚系统里有几个管理员：运行 lusrmgr.msc 打开本地用户和组，或者命令行 net user 列出账户。多管理员的服务器尤其容易改错人——你想改的是日常登录用的那个账户。命令行里 whoami 确认当前身份，别在另一个管理员的会话里替别人改了密码。 ## 第二步：了解密码策略的约束 改之前先知道规则，免得白改一次。运行 secpol.msc 查看密码策略：复杂性要求启用时，新密码至少十二位，包含大小写字母、数字、符号中至少三类；"强制密码历史"默认记 24 个，新密码不能和最近用过的重复；"最短密码使用期限"设了 1 天的话，当天改过就不能再改。远程会话里改，按 Ctrl+Alt+End 选"更改密码"；命令行方式是 net user Administrator 新密码，改完马上验证。 ## 第三步：先备退路再动手 稳妥的顺序：先建一个备用管理员账号，设强密码，用它新开一个远程会话确认能登录，然后再改主账号密码。这样即使主账号出问题，备用账号还能进去收拾。改完主密码后保持当前会话不断开，另开新连接用新密码验证一遍，都通了再退出旧会话。改完直接注销再赌新密码没写错，是把自己锁在门外最常见的原因。 ## 第四步：同步更新别处记录 密码改完，三处要同步：本地保存的 .rdp 连接文件如果存了凭据要更新；自动化脚本里写死的密码要改，不然计划任务半夜就开始报错；云控制台的密码托管记录顺手更新。控制台的重置密码功能留着当兜底，真被锁在外面时用它救场。 改完密码当天留意一下账户锁定事件：如果 4625 失败记录突然增多，多半是某台旧设备还在拿老密码自动重连，把它的凭据更新掉，免得触发锁定策略连累所有人。