Restringir os administradores de alterar a hora do sistema - máquinas com Windows XP (sem domínio)

Question

Eu preciso escrever um script que removerá todos os usuários em Local Computer Policy > Computer Configuration > Windows Settings > Security Settings > User Rights Assignment > Change the system time da diretiva de grupo local (gpedit.msc) em todas as máquinas com Windows XP. Essas máquinas não estão no domínio. Eu tenho uma maneira de distribuir e executar o script automaticamente. Alguém pode me indicar a direção certa para criar um roteiro como esse?

    

Answer 1

Bem, ignorando o fato de que um administrador pode apenas alterá-lo de volta ..;)

A ferramenta secedit deve fornecer a funcionalidade de que você precisa. Use /areas SECURITYPOLICY .

    

Answer 2

Resposta tardia, mas pode ser útil. Você também pode tentar fazer isso usando o utilitário das Ferramentas do Windows Server 2003 Resource Kit ntrights.exe .

Exemplo de script (testado no Windows XP Professional SP3) :

@echo off

echo Start process %date% %time% >> %~dp0%~n0.log

cd /d "c:\work"

rem Revokes "Change system time" right from Administrators
ntrights.exe -r SeSystemtimePrivilege -u "Administrators" >> %~dp0%~n0.log
rem Revokes "Change system time" right from Power users
ntrights.exe -r SeSystemtimePrivilege -u "Power Users" >> %~dp0%~n0.log
rem Revokes "Change system time" right from user2
ntrights.exe -r SeSystemtimePrivilege -u "user2" >> %~dp0%~n0.log
rem Grant "Change system time" right to user1
ntrights.exe +r SeSystemtimePrivilege -u "user1" >> %~dp0%~n0.log

echo End process %date% %time% >> %~dp0%~n0.log

rem Reboot if you need
shutdown /r /t 10