本文介绍管理员帐户密码过期策略的按设计行为。
原始 KB 数： 2837704
总结
成员服务器上的本地管理员（RID -500）帐户密码已过期，并且系统不会提示你在登录屏幕上更改密码。 可以登录并访问控制台。 管理员的帐户属性中选中了“用户下次登录时必须更改密码”设置。 登录后，可能会看到气球弹出消息“请考虑不时更改密码”。
在本地管理员的帐户属性中，如果手动取消选中“用户下次登录时必须更改密码”选项，请单击“确定”，执行注销，然后登录，你会注意到该选项的复选框会在用户的属性中再次设置。 设置“用户下次登录时必须更改密码”的复选框将“已选中”，不管密码实际上是使用 Ctrl+Alt+DEL -> 登录时更改密码 。
在访问控制台之前，系统会提示手动创建并添加到具有过期密码的本地 Administrators 组的常规帐户，在登录屏幕中更改密码。
详细信息
此行为是设计造成的，并且预期允许管理员使用 -500 RID 帐户（也称为管理员）登录到系统，以执行故障排除任务，即使密码已过期。 出于安全原因，不允许其他帐户在密码过期时登录。
任何其他具有已过期密码的帐户（即管理员组成员或任何内置本地组的成员）或具有“允许本地登录”用户权限的帐户都不允许登录，并被迫在登录屏幕上更改其密码，然后才能访问控制台。
注意
登录到域控制器时，Active Directory 中的域管理员帐户 （-500 RID） 同样的行为有效。