域用户修改密码后仍提示密码错误，或旧密码还在生效，应该检查什么？
应区分离线缓存登录、域控复制延迟、旧 SMB 会话、凭据管理器、服务任务和 VPN/云桌面认证路径。
结论与适用范围本文适用于企业环境中的“域用户修改密码后仍提示密码错误，或旧密码还在生效，应该检查什么？”场景。建议先确认影响范围和复现条件，再按低风险到高风险的顺序检查。不要在没有备份、回退点或测试对象的情况下直接批量修改。
1. 结论与适用范围
建议准备：客户端和服务器版本、是否加域、DNS 与网关配置、涉及的网络区域、完整报错、事件日志时间点，以及近期变更记录。示例域名统一使用 corp.example，不包含任何客户真实域名、IP、账号或设备序列号。
该问题归类为“AD 域控与组策略”。如果已经影响办公、生产或数据安全，可先远程收集日志和配置；涉及批量权限、交换机链路、停机切换或恢复演练时，应安排受控实施窗口。
2. 常见现象与环境确认
- 保留完整报错、事件日志时间点和失败操作，不要只凭用户口述判断。
- 先记录影响范围、首次发生时间、是否持续复现，以及同网段和其他网段是否一致。
- 域成员和准备加域的电脑应优先使用内部 DNS；公网 DNS 不能返回 AD 所需的 SRV 记录。
3. 按顺序排查
- 区分“离线缓存登录仍可用”和“在线域认证失败”，并确认当前终端是否真正联系到域控制器。
- 使用 repadmin 查看复制摘要、失败源和错误码，再按站点、连接对象和命名上下文缩小范围。
- 同一服务器不能同时用不同账号建立 SMB 会话；应先识别现有会话，再决定是否断开和重新认证。
- 检查凭据管理器、映射盘、计划任务、服务和脚本中的账号格式，统一使用已确认的域账号或专用服务账号。
- 账号改密后仍反复锁定时，应特别排查离线笔记本、手机、平板、旧 VPN 客户端和长时间未重启的终端。
- 信任关系失败时先验证安全通道；修复前确认本地管理员凭据和用户资料路径，避免直接删机重加域。
只读检查示例
whoami /logonid
nltest /dsgetdc:corp.example
klist
cmdkey /list
net use命令中的服务器名、域名和路径必须替换为本企业已确认的值。不要复制未知环境中的真实 IP、域名或账号。
4. 安全处理与批量实施
优先使用只读查询、导出配置和单台验证。确认根因后，再选择修复对象、维护窗口和回退方式。多台电脑处理时，先建立测试 OU 和少量试点设备，导出策略结果，确认无副作用后再分批推广。
- 检查凭据管理器、映射盘、计划任务、服务和脚本中的账号格式，统一使用已确认的域账号或专用服务账号。
- 账号改密后仍反复锁定时，应特别排查离线笔记本、手机、平板、旧 VPN 客户端和长时间未重启的终端。
- 信任关系失败时先验证安全通道；修复前确认本地管理员凭据和用户资料路径，避免直接删机重加域。
远程还是现场处理？单台或少量终端、配置与日志可远程获取时，通常可先远程判断；涉及交换机链路、机房布线、多网段批量变更或停机切换时，建议安排现场窗口。杭州及长三角可根据项目情况上门，其他地区可远程协助。
5. 验证、回退与常见误区
修复后不要只看“暂时能用”。应从用户操作、日志、重启/重新登录、不同网络位置和下一次策略/备份周期再次验证。
验证与回退检查
- 一次只变更一个条件，并在变更前导出配置或记录当前状态。
- 确认客户端、域控制器和虚拟化宿主机的时区与时间源一致，避免 Kerberos 因时间偏差失败。
- 确认域控制器间 AD 与 SYSVOL 复制正常，客户端访问的域控上存在相同策略版本。
常见错误做法
- 直接改用公网 DNS 或在 hosts 中长期硬编码域控。
- 未备份本地管理员凭据就把电脑退出域。
- 未经小范围验证就把新 GPO 链接到整个域。