如何在 Windows 10 中設定本機帳戶的帳戶鎖定閾值

若要在 Windows 10 本機帳戶多次登入錯誤後將其鎖定，請net accounts /lockoutthreshold:10在提升權限的命令提示字元中執行此命令。將 `<failures_number>` 替換10為允許的失敗次數，然後執行指令net accounts進行驗證。即使您的 Windows 版本不包含本機安全性原則控制台，此內建命令也有效。

在更改之前了解閾值

帳戶鎖定閾值是指 Windows 鎖定帳戶前允許的登入失敗次數。此策略接受 1 到 999 之間的值；9990表示永不鎖定帳戶。微軟的 Windows 安全性基線使用 10 作為合理的起始值，但合適的數值取決於您的安全需求以及使用者輸入錯誤密碼的頻率。

鎖定功能可以減緩重複密碼猜測，但知道使用者名稱的人可以故意觸發該功能，阻止該使用者登入。微軟將閾值 10 視為參考值，而非通用規則。將閾值設為 0 會移除此保護；微軟建議僅在實施強密碼要求和可靠的登入失敗監控機制時才這樣做。

這是電腦策略，而非使用者設定。它適用於受該電腦原則約束的本機帳戶。相關的鎖定持續時間和計數器重設視窗決定了鎖定持續的時間以及 Windows 何時清除先前的故障記錄。如果閾值不為零，則鎖定持續時間必須至少與重置視窗一樣長。

設定本機帳戶鎖定閾值

1. 以管理員身分開啟命令提示符

開啟“開始”功能表，輸入“執行cmd”，然後選擇“以管理員身份執行”。更改電腦範圍的策略需要提升權限。如果出現提示，請使用管理員帳戶核准使用者帳戶控制。

2. 批准海拔提示

當出現“使用者帳戶控制”提示時，請確認應用程式是“Windows 命令處理器”，然後選擇“是”。如果您使用的是標準帳戶，請提供管理員憑證。否則，Windows 可能會拒絕變更。

3. 查看現行政策

輸入以下指令並按下回車鍵：

net accounts

檢查鎖定閾值：從不表示已停用；數值表示目前限制值。輸出結果也會列出鎖定持續時間和觀察視窗。這些值會有所不同，因此圖片僅供參考。

4. 設定一個數字並進行驗證

若要允許 10 次失敗嘗試後再鎖定係統，請執行：

net accounts /lockoutthreshold:10

將此處替換10為 1 到 999 之間的整數，即可設定另一個限制。若要停用自動鎖定，請使用 `--disable-lockout-off` net accounts /lockoutthreshold:0，但請先權衡安全性。

成功顯示訊息後，請net accounts再次運行並確認該行顯示的是您選擇的數字。本地儲存的策略變更無需重新啟動。

達到閾值時會發生什麼？

當觀察視窗內的失敗嘗試次數達到閾值時，Windows 會鎖定該帳戶。帳戶會在鎖定時間到期後恢復可用，或者如果需要手動解鎖，則由管理員解鎖。在啟用了本機安全性原則的版本中，相關設定位於「電腦設定」>「Windows 設定」>「安全性設定」>「帳戶原則」>「帳戶鎖定原則」。

此本機 Windows 原則未對 Microsoft 帳戶設定線上登入保護。

排除數值不變的問題

• 存取被拒絕：請以管理員身分重新開啟命令提示字元。
• 該值未改變：請再次運行net accounts。在工作或學校網域中，網域策略可以控制有效值；請聯絡管理員。
• 內建管理員帳戶： Windows 會對其進行特殊處理。微軟在 2022 年 10 月的更新中新增了一項「允許管理員帳戶鎖定」策略，用於鎖定遠端桌面等網路登入；鎖定期間，控制台登入仍然允許。
• 撤銷閾值：執行此命令net accounts /lockoutthreshold:0。這將禁用未來的帳戶鎖定；但不會解鎖已鎖定的帳戶。

微軟參考資料

• 微軟的帳戶鎖定閾值策略參考文件解釋了允許的值、10 次嘗試的基線以及安全權衡。
• 微軟的 Net 命令參考手冊描述如何在本機上使用net accountsNet 命令來制定帳戶策略，以及網域設定如何影響顯示的策略。
• Microsoft 支援：內建本機管理員帳戶鎖定文件介紹了內建管理員帳戶的特殊處理方法。