Разрешить пользователям Windows менять системное время
По умолчанию, настройки текущего времени на компьютере могут менять лишь пользователи, которые входят в группу администраторов. Если же такая ситуация не устраивает, то исправляется она групповыми политиками на компьютере.
Редактируем групповые политики локально
Если нужно поменять настройки на единичном компьютере, то можно все это сделать в его собственных групповых политиках. Делается это следующим образом:
- Нажав клавиши Win+R , набираете gpedit.msc . Нажимаете Enter .
- В открывшемся окне, в древе слева выбираем «Конфигурация компьютера — Политики — Конфигурация Windows — Параметры безопасности — Локальные политики — Предоставление прав пользователям«.
- В списке ищем «Изменение системного времени«, нажимаем правой кнопкой и открываем Свойства. Там ставим галочку на «Определить следующие параметры политики» и выбираем нужных пользователей по их именам или по группам.
Редактируем групповые политики в домене
Открываем «Управление групповой политикой» (Панель управления — Администрирование — Управление групповой политикой). Если нужно, то создаем новый объект групповой политики, в противном случае редактируем уже существующий.
Выбираем «Конфигурация компьютера — Политики — Конфигурация Windows — Параметры безопасности — Локальные политики — Предоставление прав пользователям«. Там в списке ищем «Изменение системного времени«, нажимаем правой кнопкой и открываем Свойства. Там ставим галочку на «Определить следующие параметры политики» и выбираем нужных пользователей.
Изменение времени системы — параметр политики безопасности
Описывает лучшие практики, расположение, значения, управление политикой и соображения безопасности для параметра Изменить параметр политики безопасности системного времени.
Справочники
Этот параметр политики определяет, какие пользователи могут настроить время на внутренних часах устройства. Это право позволяет пользователю компьютера изменять дату и время, связанные с записями в журналах событий, транзакциях баз данных и файловой системе. Это право также требуется процессу, который выполняет синхронизацию времени. Этот параметр не влияет на способность пользователя изменять часовой пояс или другие характеристики отображения системного времени. Сведения о назначении права на изменение часовой зоны см. в этой информации.
Возможные значения
- Определяемый пользователей список учетных записей
- Не определено
Рекомендации
- Ограничить право пользователя на изменение системного времени пользователями с законной необходимостью изменить время системы.
Location
Computer Configuration\Windows Settings\Security Settings\Local Policies\User Rights Assignment
Значения по умолчанию
По умолчанию члены групп администраторов и локальных служб имеют это право на рабочих станциях и серверах. Члены групп администраторов, операторов серверов и локальных служб имеют это право на контроллерах домена.
В следующей таблице приведены фактические и действующие значения по умолчанию для этой политики. Значения по умолчанию также можно найти на странице свойств политики.
| Тип сервера или объект групповой политики | Значение по умолчанию |
|---|---|
| Default Domain Policy | Не определено |
| Политика контроллера домена по умолчанию | Администраторы Операторы серверов Локализованная служба |
| Параметры по умолчанию для автономного сервера | Администраторы Локализованная служба |
| Dc Effective Default Параметры | Администраторы Операторы серверов Локализованная служба |
| Действующие параметры по умолчанию для рядового сервера | Администраторы Локализованная служба |
| Действующие параметры по умолчанию для клиентского компьютера | Администраторы Локализованная служба |
Управление политикой
В этом разделе описываются функции, средства и рекомендации, которые помогут вам управлять этой политикой.
Перезагрузка устройства не требуется для того, чтобы этот параметр политики был эффективным.
Изменения прав пользователя вступают в силу при его следующем входе в учетную запись.
Групповая политика
Параметры применяются в следующем порядке с помощью объекта групповой политики (GPO), который перезаписывал параметры на локальном компьютере при следующем обновлении групповой политики:
- Параметры локальной политики
- Параметры политики сайта
- Параметры политики домена
- Параметры политики подразделения
Когда локальный параметр серый, он указывает, что GPO в настоящее время контролирует этот параметр.
Вопросы безопасности
В этом разделе описывается, каким образом злоумышленник может использовать компонент или его конфигурацию, как реализовать меры противодействия, а также рассматриваются возможные отрицательные последствия их реализации.
Уязвимость
Пользователи, которые могут изменить время на компьютере, могут вызвать несколько проблем. Пример:
- Отметки времени в записях журнала событий можно сделать неточными
- Штампы времени в созданных или измененных файлах и папках могут быть неправильными
- Компьютеры, принадлежащие домену, не смогут самостоятельно проверить подлинность
- Пользователи, которые пытаются войти в домен с устройств с неточным временем, возможно, не смогут проверить подлинность.
Кроме того, так как протокол проверки подлинности Kerberos требует, чтобы у запрашивающего и аутентиста были синхронизированы часы в период перекоса, определенный администратором, злоумышленник, который изменяет время устройства, может привести к тому, что компьютер не сможет получить или предоставить билеты на протокол Kerberos.
Риск от подобных событий снижается на большинстве контроллеров домена, серверов-членов и компьютеров конечных пользователей, так как служба времени Windows автоматически синхронизирует время с контроллерами домена следующим образом:
- Все клиентские устройства настольных компьютеров и серверы-члены используют контроллер проверки подлинности домена в качестве партнера по времени входящие.
- Все контроллеры домена в домене назначают основного мастера операций эмулятора домена (PDC) в качестве партнера по входящий времени.
- Все мастера операций эмулятора PDC следуют иерархии доменов в выборе входящий партнер времени.
- Мастер операций эмулятора PDC в корне домена является авторитетным для организации. Поэтому рекомендуется настроить этот компьютер для синхронизации с надежным внешним сервером времени.
Эта уязвимость становится гораздо более серьезной, если злоумышленник может изменить время работы системы, а затем остановить службу Windows времени или перенастроить ее для синхронизации с сервером времени, который не является точным.
Противодействие
Ограничение права пользователя изменить время работы системы пользователям с законной необходимостью изменить время работы системы, например членам ИТ-группы.
Возможное влияние
Это не должно иметь никакого влияния, так как синхронизация времени для большинства организаций должна быть полностью автоматизирована для всех компьютеров, принадлежащих домену. Компьютеры, не принадлежащие домену, должны быть настроены для синхронизации с внешним источником, например веб-службой.
Разрешить или запретить стандартным пользователям изменять системное время и часовой пояс
Когда обычный пользователь пытается изменить системное время или часовой пояс, система блокирует попытку. Если вы используете клиентскую систему Windows и хотите позволить стандартным пользователям изменять системное время и часовой пояс, то эта статья проведет вас через весь процесс.
Разрешить стандартным пользователям изменять системное время
Чтобы разрешить или запретить стандартным пользователям изменять системное время в Windows 10, выполните следующие действия:
- Нажмите Win + R , чтобы открыть приглашение «Выполнить».
- Тип secpol.msc и нажмите Войти кнопка.
- Перейдите в Локальные политики> Назначение прав пользователя.
- Дважды щелкните значок Изменить системное время политика.
- Нажмите на Добавить пользователя или группу кнопка.
- Нажать на Типы объектов кнопка.
- Установите все четыре флажка и нажмите кнопку Ok кнопка.
- Нажать на Передовой вариант.
- Щелкните значок Найти сейчас кнопку и выберите Каждый из списка.
- Нажать на Ok кнопка.
Во-первых, вы должны открыть локальную политику безопасности на своем компьютере. Для этого нажмите Win + R чтобы открыть приглашение «Выполнить», введите secpol.msc и нажмите Войти кнопка.
Затем разверните Местная политика и нажмите на Распределение прав пользователя вариант. Справа вы увидите политику под названием Изменить системное время.
Дважды щелкните по нему. Затем нажмите на Добавить пользователя или группу и Типы объектов кнопки соответственно.
После этого установите все четыре флажка и нажмите кнопку Ok кнопка. Вы увидите Передовой в следующем окне.
Щелкните по нему и выберите Найти сейчас кнопка. Он открывает список как результат поиска. Выбирать Каждый из списка и нажмите на Ok кнопка на Выберите пользователей или группы окно.
Теперь ты увидишь Изменение свойств системного времени окно на вашем экране. Если да, щелкните Ok кнопка.
С этого момента все пользователи могут изменять системное время. Если вы хотите сделать то же самое с настройками часового пояса, выполните те же действия для Изменить часовой пояс политика.
Запретить стандартным пользователям изменять системное время и часовой пояс
Чтобы запретить стандартным пользователям изменять системное время и часовой пояс в Windows 10, выполните следующие действия:
- Нажмите Win + R , чтобы открыть приглашение «Выполнить».
- Тип secpol.msc и нажмите Войти кнопка.
- Перейдите в Локальные политики> Назначение прав пользователя.
- Дважды щелкните значок Изменить системное время политика.
- Выбирать Каждый из списка.
- Щелкните значок Удалять кнопка.
- Нажать на Ok кнопка.
Откройте окно локальной политики безопасности, нажав Win + R, набрав secpol.msc и нажав Войти кнопка. После этого выполните шаги, указанные выше, чтобы открыть Изменить свойства системного времени окно. Когда он откроется, выберите Каждый из списка и щелкните Удалять кнопка.
Наконец, нажмите на Ok кнопка. Как обычно, вам нужно повторить эти шаги для Изменить часовой пояс политики, если вы хотите запретить другим изменять часовой пояс на вашем компьютере.
КОНЧИК: Знаете ли вы, что вы можете запретить пользователям изменять дату и время?