Evitar que usuários não administradores alterem o fuso horário no Windows

Question

De volta aos usuários comuns do Windows XP, não foi possível alterar o fuso horário do sistema. Em versões mais recentes, o fuso horário pode ser alterado até mesmo por usuários não administradores. Eu posso entender o motivo pelo qual eles adicionaram essa habilidade, mas ela pode realmente atrapalhar um dos nossos aplicativos de registro de tempo. Por isso, decidimos fornecer aos nossos usuários uma opção para desativá-lo.

Em "Política de segurança local", a chave "Políticas locais / Atribuição de direitos de usuário / Alterar o fuso horário" contém o valor "SERVIÇO LOCAL, Administradores, Usuários".

Para resumir, precisamos que nosso aplicativo (escrito em C #) seja capaz de remover ou adicionar a parte "Usuários" da política acima. Nosso aplicativo inclui um serviço do sistema para que ele tenha direitos elevados.

Poderíamos usar o prompt de comando do Windows ou ferramentas de terceiros para distribuir gratuitamente.

(PS: Nenhum servidor está envolvido, sem DC, AD, etc. Apenas PCs autônomos.)

    

Answer 1

Isso pode ser feito através da linha de comando (e, portanto, um processo fácil de iniciar a partir do código) usando o NTRights, que é parte do Pacote do Windows Server 2003 Resource Kit . ntrights.exe é invocado com -u seguido pelo grupo ou nome de usuário e +r ou -r para adicionar ou remover (respectivamente) o seguinte privilégio.

Portanto, ntrights -u Users +r SeTimeZonePrivilege concede o privilégio de alterar o fuso horário e ntrights -u Users -r SeTimeZonePrivilege (anote o -r ) o revoga.

Outras leituras: Mais sobre privilégios , uma lista de privilégios comuns

    

Answer 2

Após uma longa pesquisa nos últimos 3 dias, encontrei uma ferramenta gratuita para redistribuição que pode gerenciar facilmente as políticas de segurança. Chama-se "Grant". O site do criador (Andreas Hansson) e o bussiness não existem mais, mas eu encontrei uma cópia na máquina do caminho de volta, incluindo o arquivo para download: link

Exemplos de uso:

conceder usuários do SeSystemtimePrivilege add

conceder add SeServiceLogonRight myDomain \ ServiceAccount