今天美國哪邊的同事說，他們哪邊的用戶不能自行修改域用戶的密碼。了解了大半天的情況后，我想到了GPO（組策略），到微軟找了找，找到了一個KB，可以實現Windows 2000/2003下如何使用組策略禁止用戶修改密碼，取消反之。具體的方法主要如下：

1. 通過使用“Microsoft 管理控制臺”(MMC) 來啟動“Active Directory 用戶和計算機”管理單元。操作方法：單擊 開始 ，單擊 運行 ，鍵入 mmc ，然后單擊 確定 。在 文件 菜單上，依次單擊 添加/刪除管理單元 、 添加 、 Active Directory 用戶和計算機 、 添加 、 關閉 ，然后單擊 確定 。現在，在控制臺的左窗格中應該看到該管理單元。 2. 展開該管理單元，然后右鍵單擊要對其實施新密碼更改策略的域或組織單元，然后單擊 屬性 。 3. 單擊 組策略 選項卡，單擊要使用的“組策略對象”(GPO)，然后單擊 編輯 。如果在窗口中未列出現有策略，請單擊 新建 以創建一個您可以為其選擇名稱的新策略，然后單擊 編輯 。 4. 展開該策略，然后展開“用戶配置”節點。展開“管理模板”節點，然后展開“系統”節點。 5. 單擊 登錄/注銷 節點。 6. 右鍵單擊 禁用更改密碼 策略，然后單擊 屬性 。 7. 在 策略 選項卡上，單擊 啟用 選項，然后單擊 確定 。 8. 關閉“組策略”窗口，然后退出“Active Directory 用戶和計算機”控制臺。 9. 在命令提示符下，鍵入 secedit /refreshpolicy user_policy /enforce ，然后按 ENTER 鍵以更新該策略。 備注 ： 默認情況下，在域級別應用于用戶或計算機的策略將會應用到該域中的所有用戶和/或所有計算機。默認情況下，應用于組織單元的策略將會應用到駐留在該組織單 元以及可能存在的任何子組織單元中的所有用戶帳戶和/或計算機帳戶。用戶帳戶必須移入該組織單元或在其中創建，才會應用策略。如果只是給組織單元添加用戶 可能是其成員的安全組，將不會對該用戶應用策略。

二.如何對一名或多名特定用戶禁用“更改密碼”按鈕

必須在用戶計算機上執行以下步驟：1. 在命令提示符下，鍵入 regedit ，然后按 ENTER 鍵。 2. 查看下面的注冊表項： HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPolicIEs 3. 單擊 System 項（如果它存在）。如果該項不存在，請單擊 編輯 菜單中的 新建 ，然后單擊 項 以創建一個稱為“New Key #1”的新文件夾值。將 New Key #1 值重命名為 System 。 4. 單擊 System 項。在 編輯 菜單上，指向 新建 ，然后單擊 DWord 值 。將 New Key #1 項重命名為 DisableChangePassword ，按 ENTER 鍵，然后再次按 ENTER 鍵。 5. 將值從 0 更改為 1 。 6. 退出“注冊表編輯器”。按 CTRL+ALT+DELETE 組合鍵，即可看到現在無法使用 更改密碼 按鈕了。

P.S:微軟KB： A.如何在 Windows 2000 中防止用戶在非必要情況下更改密碼 http://support.microsoft.com/default.aspx?scid=kb;zh-en;309799

B.HOW TO：在 Windows Server 2003 中防止用戶在非必要情況下更改密碼 http://support.microsoft.com/default.aspx?scid=kb;zh-cn;324744