[WindowsNT]

1. Сделать настройки в Default Domain Policy
2. На контроллере выполнить GPUpdate
3. Проверяем, получаем на выходе:
Lockout.png

4. Данное правило не распространяется на встроенного администратора. Чтобы блокировать и его тоже, гуглим PASSPROP.exe

[Alexx78]

4. Данное правило не распространяется на встроенного администратора. Чтобы блокировать и его тоже, гуглим PASSPROP.exe »

Ясно, как раз со встроенным админом я это и пытался провернуть

P.S. Погуглил про PASSPROP.exe. Я так понимаю на 2012 Server его не существует. Прямо таки замкнутый круг, т.е. выходит встроенную учетку администратора контроллера домена не никак защитить от перебора пароля?

[ko4evneg]

Политика паролей применяется только из политик, прилинкованных на корень домена. Из других OU политики паролей действовать не будут.
Для более детальной настройки можно использовать Fine-Graned passwrod policies.

[WindowsNT]

Passprop работает на всех NT, в том числе на 2012, просто там какие риски — в случае блокировки администратор не может зайти на контроллер даже интерактивно. Раньше мог.