Default Domain Policy frente a directivas de contraseñas específicas (PSO); Papelera de reciclaje de AD

Cada dominio necesita una directiva de contraseñas y de bloqueo de cuentas para sus cuentas de usuario. Para las cuentas de dominio, esa directiva proviene de la configuración de directiva de grupo en Computer Configuration, Policies, Windows Settings, Security Settings, Account Policies, y solo surte efecto cuando el GPO está vinculado en el nivel del dominio. Por convención, reside en la Default Domain Policy. Si vinculas un GPO con configuración de contraseñas a una OU, afecta solo a las cuentas locales de los equipos de esa OU, no a los usuarios del dominio. Esa es la limitación clásica: una directiva de contraseñas por dominio.