我的组织曾经有一台 Windows 2000 Server Ed。还安装了具有 DNS 角色的域控制器。它为其他 5 台服务器和大约 15 个工作站提供服务。几个月前，主板坏了，因为它是一个相当旧的服务器，我的主管建议我们在我们刚购买的英特尔 NUC5i3MYHE 上安装更新版本的 Windows Server（终于！），目的是安装一些灯服务器角色（文件服务器、DNS、内部网络服务器等）。
Server 2012 R2 在盒子上的安装很顺利，添加 AD DS 和 DNS 角色，以及升级到域控制器（由于旧服务器故障导致现有域现在离线，我将新 DC 设置为相同）域名，并在 dcpromo.exe 期间选择了“新森林”选项）。
我第一次将新的 DC 放在 LAN 上时，我们遇到了人们无法登录他们的计算机的问题。我意识到我的错误（我有一个非常忙碌的平均工作日），没有在 AD 中设置用户帐户，因此立即将其脱机，此时我的最终用户能够使用他们的旧帐户重新登录到他们的工作站（作为“离线文件”缓存在他们的本地计算机上）。作为记录，我还没有在 DNS 中设置正向和反向查找区域。据我了解，我首先需要 AD DS 工作，但它显然不工作（100%，无论如何）。
几天后，我让每个人都设置了与原始 DC 崩溃前相同的用户名，其中一些需要新密码才能满足复杂性要求。这就是障碍所在。
已经拥有满足复杂性要求的密码的欧盟使用他们的经典密码登录没有问题。但是对于那些需要更改密码的人，他们在使用旧帐户登录时会收到一条消息，大意是“请锁定此计算机并使用当前域凭据登录”，他们会尝试这样做，但他们的机器（XP SP3 和 W7，Pro Eds）不会让他们使用新创建的密码，使用他们的经典用户名。
我真的不想为每个用户设置新一轮的用户名和密码，但我担心那些密码没有改变的人根本没有登录新的 DC，而是他们旧的“离线文件， " 并且密码确实发生更改的用户能够访问桌面/我的文档，但只能通过输入他们的经典密码并访问本地缓存的脱机文件。
FWIW，我在新服务器上的事件日志中注意到错误 ID 4013，我在这里找到了一些信息： https://technet.microsoft.com/en-us/library/cc735842(v=ws.10)。 aspx
...但是当我点击那里找到的 AD DS Troubleshooting 链接时，它会将我带到一个通用的“Windows Server 2003/2003 R2 Retired Content”页面，这很奇怪，因为它是生成错误 ID 4013 的 2012 R2 机器和是的，这是链接上的正确链接（与我的服务器匹配的措辞）。
我已经尝试在几个工作站上登录和注销几次，使用各种凭据但没有运气，我只能使用旧密码进入域。如果有人能指出我正确的方向，我将不胜感激，因为多年来我在公司的角色已经从网络管理员转变为更多的 Web 开发人员，所以我真的不怎么处理 AD DS的作用。我有事件日志，我可以给大家，如果有帮助，其他警告是 RE: ADWS (Web Services)，我不确定它是否有帮助，所以我没有包括它，但请告诉我！提前感谢您的建议！