在Active Directory域中创建域用户账户以后，该用户会自动获得一些默认的权限。在很多情况下，用户的默认权限可能并不符合网络管理员的管理需求。在域控制器中可以对用户的权限进行非常细致的设置，比如用户登录AD域的时间、登录计算机、共享资源使用权限等。
网络管理员可以在中设置允许用户登录到域的时间，从而加强AD域的管理，操作步骤如下所述：
第1步，以系统管理员身份登录域控制器，并打开“Active Directory用户和计算机”窗口。在左窗格中单击Users容器，然后在右窗格的用户列表中双击准备设置权限的用户名称（如ithanjiang），打开“ithanjiang 属性”对话框。切换到【账户】选项卡，并单击【登录时间】按钮，如图1所示。
图1 单击【登录时间】按钮
第2步，打开“ithanjiang的登录时间”对话框，在时间轴区域，横轴方向每个方块代表一小时，纵轴方向每个方块代表一天。蓝色方块表示允许用户使用的时间，空白方块则表示禁止用户使用的时间。默认情况下任何时间都允许用户
使用，例如准备让用户ithanjiang可以在每天的6：00～18：00登录到域，则先用鼠标左键单击左上方的【全部】按钮，然后选中【拒绝登录】单选钮。用鼠标选中相应范围的时间块，并选中【允许登录】单选钮。单击【确定】按钮完成设置，如图2所示。
图2 选中【允许登录】单选钮
小提示：当用户在允许的时间段内登录到AD域，并且持续使用到超出允许的时间段时，用户可以继续保持连接并使用。不过，一旦用户注销登录则不允许再进行新的连接。
公司为了安全加入域后，发现有一些问题，就是有的用户需要重新启动一些服务但是提示没有权限，如何才能把指定的服务器的管理权限给普通域用户。还有像google输入法之类的升级的时候提示“不是管理员，无法升级”。不知道怎么解决？ 回答：根据您的描述，我对这个问题的理解是：普通的域用户的权限问题。 分析: ===== 您说到的这些情况,windows域就是设计为这样的. 默认的域用户在登录一台客户机的时候,域用户自动加入了客户机本地的“user”组,这个组只有一些基本的使用功能. 而您提到的重启服务,安装程序这样的操作,是需要本机管理员权限来进行. 而域管理员是自动加入到了本机的“administrator”组的. 建议: ==== 如果您的确需要让这些用户有这些控制权限,您可以给他们本机的“administrator”权限. 这里您可以有两种选择. 1. 告诉他们一个本机的管理员帐号,让他们在需要的时候切换用户来实现需要的功能. 2. 把域用户加入到本机的“administrator”组使得用户始终有本机的完全控制权限. a. 右键“我的电脑”, 选择“管理” b. 选择“本地用户和组” c. 选择“组”, d. 选择其中的“administrators”并双击 c. 然后把需要的域用户添加到这个组就可以实现普通的域访问权限和本机的管理员权限并存了. 另外,如果您需要某些用户对服务器的某些服务有管理权限,但是又不想赋予他们管理员权 限的话.可以通过修改组策略来实现. 我们假定这些server在一个名叫“server ou” 的OU中.您需要赋予权限的服务是“DNS sever” 1. 在“server ou”上添加一个组策略.给它定义一个名字. 2. 编辑这个组策略,展开“计算机配置\windows设置\安全设置\系统服务” 3. 从右面栏中找到“dns server” 服务,双击. 4. 选择“定义这个策略设置” 启动模式按照您本来的需求设置,然后点击“编辑安全设置” 5. 在弹出窗口中,选择添加. 6. 输入您需要的用户(组),然后在下面的权限栏中,赋予那个用户(组) “启动,停止和暂停”权限. 关于安装程序,您可以还可以把用户加入到本地的“power user”组,这个组的成员有权限装一部分的软件,但是涉及以下方面的程序无法安装: 1. 需要修改服务,驱动,系统文件的.(例如Google输入法) 2. 一些老程序会要求系统的控制权限. 3. 安装前先检查用户的组身份,不属于管理员直接拒绝.
域内各个服务器的时间保持一致，是一个很重要而又往往又容易被人忽略的问题，如果时间不同步或出现异常，往往会出现以下问题： 1. 服务器上应用程序Server端无法获取准确的日期，导致反馈给客户端的日期时间不准确 2. 系统日志上时间不正确，无法通过时间点查找错误信息 3. VPN用户无法连接网络，导致无法正常工作 4. Failover Cluster无法正常启动或切换 … 以下内容，我们会介绍如下获取修改系统时间，如何设置成与时间服务器同步，并介绍各个常用的与时间有关的命令。 一．常见命令 1. 修改当前计算机时间 使用time命令，同时会要求您重设时间 如果不需要设置时间，则直接回车即可 这个命令仅限于粗糙的时间调整。 2. 获取当前计算机的日期及时间信息 在Windows HyperV中，用户无法看到图形界面的日期与时间信息，但可以通过以下命令进行查看： a) 在命令行中输入timedate.cpl, 系统自动弹出日期，时间设置窗口，可以在此位置进行设置 b) 在命令行中输入net time [url=file:///]\\IP[/url]地址或计算机名称，此命令还可以查看其他计算机的当前时间，例如： net time [url=file:///]\\3.242.107.129[/url], 如果是域内计算机，想查看当前域的整体时间net time /domain:shinseifin
3. 显示时区 a) Timedate.cpl b) W32tm /tz 显示本地计算机时区设置 4. 很多时间我们想知道，当前域内的计算机是从哪个服务器同步的时间，可以用如下命令： W32tm /monitor /computers:计算机名称 或者w32tm /monitor /domain:域名 结果如下
P C、硬盘录像机时间同步设置一．原理：利用NTP服务实现。NTP服务器【Network Time Protocol（NTP）】是用来使计算机时间同步化的一种协议，它可以使计算机对其服务器或时钟源（如石英钟，GPS等等)做同步化，它可以提供高精准度的时间校正（LAN上与标准间差小于1毫秒，WAN上几十毫秒），且可介由加密确认的方式来防止恶毒的协议攻击。 二．如何使局域网内的电脑时钟同步 首先要在互联网上寻找一台或几台专门提供时间服务的电脑（以下称为“主时间服务器”），在百度和Google里搜索一下，时间服务器还是很多的，笔者推荐pool．ntp．org这个地址。其次设置局域网时钟服务器。选择单位中能上外网的一台电脑，让它与主时间服务器同步，然后把它设为局域网内部的时间服务器（以下称为时间服务器），以后局域网内所有电脑依它为准进行时间校对。 最后设置客户端。如果客户机为win2000、XP或Linux系统，不需要安装任何软件。如客户机为Win98系统时要根据时间服务器类型的不同而区别对待：如果时间服务器选用SNTP协议进行时钟同步，则Win98机上需安装一个sntp客户端软件，如时间服务器由Windows电脑通过netbios协议提供，则Win98上也不需要安装任何软件。 三．如何设置时间服务器 以下分Win2000、XP分别介绍，而且只介绍sntp服务的架设。 1．Windows2000、XP做时间服务器 第一步：指定主时间服务器。在DOS里输入“net time /setsntp：pool．ntp．org”，这里我们指定pool．ntp．org是主时间服务器。
第二步：与主时间服务器同步。先关闭windows time服务，再开启该服务。在DOS里输入“net stop w32time”、“net start w32time”。 第三步：设置电脑的Windows time服务的启动方式为自动，在“管理工具”的“服务”界面下完成（xp系统默认是自动）。 注意：这台windows主机不能加入任何域，否则无法启动windows time服务。此时，这台windows电脑已经是互联上主时间服务器的客户了，以后每次电脑启动时，都会自动与主时间服务器校对时间。如果网络不通，电脑也会过45分钟后再次自动校对时间。需要提醒的是电脑的时钟与标准时间误差不能超过12个小时，否则不能自动校对，只有手动校正了。 第四步：使这台电脑成为局域网内的时间服务器。用“regedit”打开注册表，把 “HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/W32Time/Paramet ers”中的 LocalNTP改为1即可。 四．如何设置客户端 客户端的主要任务是连接到局域网内的时间服务器，以保持电脑的时钟与服务器同步。同样分Windows2000、XP几种情况介绍。 1．Windows2000主机 执行设置时间服务器时的前三步即可。 2．WindowsXP主机 可以按Windows2000主机的方法设置，也可双击任务栏右下角的时钟图标，打开“日期时间属性”对话框，在“Internet时间”卡片上选中“自动与Internet 时间服务器同步”，并在服务器上填入内部时间服务器的IP地址即可。
何在2003域中限制用户安装和卸载软件的权限，我应该怎么通过设置 策略实现？ 可以考虑“power users”组，改组是受限制的。尽管“power users”组的成员比“administrators”组的成员的系统访问权限要低，但“power users”组成员依然可以有较大权限来访问系统。如果您的组织中使用了“power users”组，则应仔细地控制该组的成员，并且不要实现用于“受限制的组”设置的指导。 “受限制的组”设置可在windows xp professonal 的“组策略对象编辑器”中的如下位置进行配置： 计算机配置\windows 设置\安全设置\受限制的组 通过将需要的组直接添加到gpo 命名空间的“受限制的组”节点上，管理员可以为gpo 配置受限制 的组。 如果某个组受限制，您可以定义该组的成员以及它所属的其他组。不指定这些组成员将使该组完全 受限。只有通过使用安全模板才能使组受限。 查看或修改“受限制的组”设置： .打开“安全模板管理控制台。 注意：默认情况下，“安全模板管理控制台”并没有添加到“管理工具”菜单。要添加它，请启动microsoft 管理控制台(mmc.exe) 并添加“安全模板”加载项 2.双击配置文件目录，然后双击配置文件。 3.双击“受限制的组”项。 4.右键单击“受限制的组” 5.选择“添加组” 6.单击“浏览”按钮，再单击“位置”按钮，选择需浏览的位置，然后单击“确定”。 注意：通常这会使列表的顶部显示一个本地计算机。 7.在“输入对象名称来选择”文本框中键入组名并按“检查名称”按钮。 单击“高级”按钮，然后单击“立即查找”按钮，列出所有可用组。 选择需要限制的组，然后单击“确定”。 单击“添加组”对话框上的“确定”来关闭此对话框。 对于所列出的组来说，将添加当前不是所列组成员的任何组或用户，而当前已是所列组成员的所有 用户或组将从安全模板中删除。 为完全限制“power users”组，此组的所有用户和组成员的设置都将删除。对于组织中不准备使用的内置组（例如“backup operators”组），建议您限制它。 如何使用组策略的进行软件分发和如何制作.msi文件?
ad域配置时间服务器 PDC如何设置外部服务器为权威服务器。将PDC的时间源同步服务器更改为公司内部的另外一台服务器（192.168.1.250），其他Linux服务器是用192.168.1.250这台服务器作为权威时间源服务器的 1.如何在PDC上设置将权威时间源服务器设置为19 2.168.1.250 2.如何检查PDC的时间服务器已经更改为192.168.1.250 3.如果检查PDC跟权威时间服务器192.168.1.250已经同步了 4.域内的其它DC不用做任何设置，就可以跟PDC保持时间同步了吧，客户 端也无需做任何操作吧，谢谢！ 环境：Windows Server 2008 DC ，多Site 回答：根据您的描述，您知道如果在域环境中配置时间服务器。 首先，我们知道在域环境下时间同步非常重要，默认情况下如果DC之间或者DC 和client之间的时间差超过5分钟，那么Kerberos验证就是会失败（默认时间可以修改）。因此正确的配置时间架构将非常重要，一般来说我们按以下架构图来配置时间同步。 活动目录时间服务 在域环境中，PDC（拥有PDC Emulator 这个FSMO角色的DC）默认情况下是该域的权威时间服务器。 按照以上的时间同步层次图，一般情况下我们建议您将顶端的PDC(如果是多域环境，则选择根域的PDC)的时间源服务器指向外部可靠的时间源比如 https://www.doczj.com/doc/2c3833804.html,。
1.您可以通过以下命令设置时间同步源： o w32tm /config /manualpeerlist:
ntp时间同步，各种配置方法 1 Windows xp NTP服务器的配置（2003配置方式一样） 1) 首先需要关闭作为NTP服务器的windows系统自带的防火墙，否则将同步不成功。 2) 单击“开始”，单击“运行”，键入 regedit，然后单击“确定”。 找到下面的注册表项然后单击它： HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config\ 在右窗格中，右键单击“AnnounceFlags”，然后单击“修改”。 在“编辑 DWORD 值”对话框中的“数值数据”下，键入 5，然后单击“确定”。 3) 启用 NTPServer。 a. 找到并单击下面的注册表子项： HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\TimeProviders\NtpServe r\ b. 在右窗格中，右键单击“Enabled”，然后单击“修改”。 c. 在“编辑 DWORD 值”对话框中的“数值数据”下，键入 1，然后单击“确定”。
4) 关闭NTP client 找到并单击下面的注册表子项： a) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\TimeProviders\Ntpclien t\ b) 在右窗格中，右键单击“Enabled”，然后单击“修改”。 c) 在“编辑 DWORD 值”对话框中的“数值数据”下，键入 0，然后单击“确定”。 5) 退出注册表编辑器。 在命令提示符处，键入以下命令以重新启动 Windows 时间服务，然后按 Enter： net stop w32time && net start w32time 2 Windows（2003、XP）系统的NTP同步配置 2.1 Windows客户端的设置 1) 首先需要关闭作为NTP客户端的windows系统自带的防火墙，否则将同步不成功。 2) 设定同步时间间隔，在“开始”菜单→“运行”项下输入“Regedit”进入注册表编辑器。展开 [ HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW32TimeTimeProvidersNtpClient ] 分支，并双击
http: 域用户权限设置 公司为了安全加入域后，发现有一些问题，就是有的用户需要重新启动一些服务但是提示没有权限，如何才能把指定的服务器的管理权限给普通域用户。还有像google输入法之类的升级的时候提示“不是管理员，无法升级”。不知道怎么解决？ 回答： 根据您的描述，我对这个问题的理解是： 普通的域用户的权限问题。 分析: ===== 您说到的这些情况,windows域就是设计为这样的. 默认的域用户在登录一台客户机的时候,域用户自动加入了客户机本地的“user”组,这个组只有一些基本的使用功能.而您提到的重启服务,安装程序这样的操作,是需要本机管理员权限来进行. 而域管理员是自动加入到了本机的“administrator”组的. 建议: ==== 如果您的确需要让这些用户有这些控制权限,您可以给他们本机的“administrator”权限.这里您可以有两种选择. 1.告诉他们一个本机的管理员帐号,让他们在需要的时候切换用户来实现需要的功能. 2.把域用户加入到本机的“administrator”组使得用户始终有本机的完全控制权限.a.右键“我的电脑”,选择“管理”
b.选择“本地用户和组” c.选择“组”, d.选择其中的“administrators”并双击 c.然后把需要的域用户添加到这个组就可以实现普通的域访问权限和本机的管理员权限并存了. 另外,如果您需要某些用户对服务器的某些服务有管理权限,但是又不想赋予他们管理员权限的话.可以通过修改组策略来实现. 我们假定这些server在一个名叫“server ou”的OU中.您需要赋予权限的服务是“DNSsever” 1.在“server ou”上添加一个组策略.给它定义一个名字. 2.编辑这个组策略,展开“计算机配置\windows设置\安全设置\系统服务” 3.从右面栏中找到“dns server”服务,双击. 4.选择“定义这个策略设置”启动模式按照您本来的需求设置,然后点击“编辑安全设置” 5.在弹出窗口中,选择添加. 6.输入您需要的用户(组),然后在下面的权限栏中,赋予那个用户(组) “启动,停止和暂停”权限. 关于安装程序,您可以还可以把用户加入到本地的“power user”组,这个组的成员有权限装一部分的软件,但是涉及以下方面的程序无法安装: 1.需要修改服务,驱动,系统文件的.(例如Google输入法) 2.一些老程序会要求系统的控制权限. 3.安装前先检查用户的组身份,不属于管理员直接拒绝.
解决局域网时间同步问题，建立自己的时间服务器（在xp上测试通过）因为种种原因，客户端管理电脑时间会与服务器的时间不一致，造成很多软件不能正常工作或者说获取的前端数据有时间差。一台台修改时间，自然很不方便。目前用的比较多的办法就是NET TIME命令，来同步局域网其他一台机器，。经过我们自己反复试验，终于成功设置好了自己的时间服务器，完全可以用XP自带的windows time 服务来自动更新时间。无须借用其他程序。现将方法公布！目前测试过XP可以做服务器。 1. 将服务器类型更改为NTP。为此，请按照下列步骤操作： a. 单击“开始”，单击“运行”，键入regedit，然后单击“确定”。 b. 找到并单击下面的注册表子项： HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Parameters\Type c. 在右窗格中，右键单击“Type”，然后单击“修改”。 d. 在“编辑值”的“数值数据”框中键入NTP，然后单击“确定”。 2. 将AnnounceFlags 设置为5。为此，请按照下列步骤操作： a. 找到并单击下面的注册表子项： HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config\AnnounceFlags b. 在右窗格中，右键单击“AnnounceFlags”，然后单击“修改”。 c. 在“编辑DWORD 值”的“数值数据”框中键入5（原为十六进制a），然后单击“确定”。 3. 启用NTPServer。为此，请按照下列步骤操作： a. 找到并单击下面的注册表子项： HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\TimeProviders\NtpServer b. 在右窗格中，右键单击“Enabled”，然后单击“修改”。 c. 在“编辑DWORD 值”的“数值数据”框中键入1（原为十六进制），然后单击“确定”。 进服务-停止windows time 服务，再启动windows time 服务。这样时间服务器就配置完毕 客户机设置： 注册表项MaxPosPhaseCorrection 路径HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config 十进制修改为999999999（原为十六进制d2f0） 注册表项MaxNegPhaseCorrection 路径HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config 十进制修改为999999999（原为十六进制d2f0）
域控服务器系统备份和恢复说明 系统备份与恢复 公司局域网中域控服务器担任DNS服务、AD服务2种角色，AD 服务和DNS服务可以通过备份系统状态一起备份。在安装配置好域控服务器后，备份系统原始状态，包括对C盘分区镜像备份；在客户机加域和调试等工作完成后，备份AD、DNS服务，C盘镜像文件和这2个服务每7天备份一次，备份文件名称加日期，分别存放在2T 硬盘下“域控服务器备份”文件夹下的“DC系统状态备份”和“DC 镜像文件备份” 1 AD服务和DNS服务备份与恢复 1.1、备份方案 AD 中数据可以分为AD 数据库及相关文件和SYSVOL（系统卷）。其中AD数据库包括Ntds.dit（数据库）、Edbxxxxx.log（事物日志）、Edb.chk（检查点文件）、Res1.log 和Res2.log（预留的日志文件）；系统卷包括文件系统联接、Net Logon 共享（保存着基于非Windows 2000/2003/xp 的网络客户端的登录脚本和策略对象）、用户登录脚本（基于Windows 2000 Professional、Windows xp 的客户端以及运行Windows 95、Windows 98 或Windows NT 4.0 的客户端）、Windows 2000/2003/xp 组策略以及需要在域控制器上可用并需要在域控制器间同步的文件复制服务(FRS) 的分段目录和文件。 系统状态是相互依赖的系统组件的集合，包括系统启动文件、系
统注册表、COM+类的注册数据库。 当备份系统状态时，AD会作为其中的一部分进行备份，所以选择系统自带备份工具（ntbackup）备份系统状态来备份AD。 为了安全，我们一周备份一次。 1.2、备份过程 开始-运行-输入ntbackup，打开系统自带备份软件（也可以点击“开始-程序-附件-系统工具-备份”打开）。 按确定，进入备份工具欢迎页面 选择高级模式，进入高级模式欢迎页面：
n t p时间同步,各种配置 方法 内部编号：（YUUT-TBBY-MMUT-URRUY-UOOY-DBUYI-0128）
1 Windows xp NTP服务器的配置（2003配置方式一样） 1) 首先需要关闭作为NTP服务器的windows系统自带的防火墙，否则将同步不成功。 2) 单击“开始”，单击“运行”，键入 regedit，然后单击“确定”。 找到下面的注册表项然后单击它： HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config\ 在右窗格中，右键单击“AnnounceFlags”，然后单击“修改”。 在“编辑 DWORD 值”对话框中的“数值数据”下，键入 5，然后单击“确定”。 3) 启用 NTPServer。 a. 找到并单击下面的注册表子项： HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\TimeProvid ers\NtpServer\ b. 在右窗格中，右键单击“Enabled”，然后单击“修改”。 c. 在“编辑 DWORD 值”对话框中的“数值数据”下，键入 1，然后单击“确定”。 4) 关闭NTP client 找到并单击下面的注册表子项：
a) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\TimeProvid ers\Ntpclient\ b) 在右窗格中，右键单击“Enabled”，然后单击“修改”。 c) 在“编辑 DWORD 值”对话框中的“数值数据”下，键入 0，然后单击“确定”。 5) 退出注册表编辑器。 在命令提示符处，键入以下命令以重新启动 Windows 时间服务，然后按 Enter：net stop w32time && net start w32time 2 Windows（2003、XP）系统的NTP同步配置 Windows客户端的设置 1) 首先需要关闭作为NTP客户端的windows系统自带的防火墙，否则将同步不成功。 2) 设定同步时间间隔，在“开始”菜单→“运行”项下输入“Regedit”进入注册表编辑器。 展开 [ HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW32TimeTimeProviders
域控制器时间同步及w32tm用法 (2011-07-05 13:07:37) 转载 分类：计算机与 Internet 标签： 杂谈 现象：域控制器和域内的计算机时间与internet上的时间不同步，老慢几分钟。 解决办法：设置NTP服务器，和外网时间同步。 一、修改DC注册表： HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Parameters\type为NTP 二、设置权威服务器 1、设置权威服务器 在域控服务器上打开注册表，找到键值 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config 修改键AnnounceFlags的值为十进制的10。 2、启用NTPServer HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\TimeProviders\NtpServe r 修改键Enabled的值为十进制的1 三、配置组策略，设置时间同步 1、打开“Active Directory用户和计算机”，在域上点右键，属性。组策略，打开。 2、在“Default Domain Policy”上右键，编辑。
3、计算机配置—管理模板—系统—Windows时间服务，双击“全局时间配置”，选择“已 启用”。 修改MaxNegPhaseCorrection的值为3600（即为3600秒，1小时） 修改MaxPosPhaseCorrection的值为3600（即为3600秒，1小时） 修改AnnounceFlags的值为5 点“应用”，“确定”。 4、计算机配置—管理模板—系统—Windows时间服务—时间提供程序，“启用 Windows NTP客户端”，选择“已启用”。 “配置Windows NTP客户端”，选择“已启用”。 修改NtpSever的值为https://www.doczj.com/doc/2c3833804.html,,0x6 修改Type的值为NTP 修改SpecialPollInterval的值为1800（30分钟） 四、W32TM用法 当修改完策略后使用gpupdate /force 更新策略，使用w32tm命令更新客户端的时钟。 很多时间我们想知道，当前域内的计算机是从哪个服务器同步的时间，可以用如下命令： W32tm /monitor /computers:计算机名称 或者w32tm /monitor /domain:域名 同步某一个机器的时钟：w32tm /resync /computer:172.21.200.100 1.启动“注册表编辑器”。 2.找到并单击下列注册表项，然后添加下列注册表值： HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\W32ti me\Config\
注意事项 时间同步使用的端口是UDP 123，要确认ACL没有限制此端口。PV时间服务器的IP地址是，172.25.254.1和172.25.25.42。 确定本机和时间服务器之间的时间偏移量的方法： - AIX: ntpdate -d 172.25.254.1 - Linux: ntpdate -q 172.25.254.1 - Windows: w32tm /stripchart /computer:172.25.254.1 /samples:1 /dataonly 确定时区的方法： - Windows: w32tm /tz - Linux: cat /etc/sysconfig/clock - AIX: echo $TZ BIOS时间和系统时间： - Linux: hwclock --systohc, 把硬件时钟设置为和当前系统时间一致。 - Windows: 系统时间会自动保存在BIOS的时钟里面。 Windows 时间同步 设置： w32tm /config /syncfromflags:manual /manualpeerlist:"172.25.254.1 172.25.254.2" 重启服务： net stop w32time net start w32time 立即同步： w32tm /resync 查看跟时间服务器的偏移量： w32tm /stripchart /computer:172.25.254.1 /samples:1 /dataonly 如果需要修改时间同步的频率，修改注册表： [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\TimeProviders\NtpClien t] 里的"SpecialPollInterval"值为比如3600秒。
域用户权限设置 公司为了安全加入域后，发现有一些问题，就是有的用户需要重新启动一些服务但是提示没有权限，如何才能把指定的服务器的管理权限给普通域用户。还有像google输入法之类的升级的时候提示“不是管理员，无法升级”。不知道怎么解决？ 回答：根据您的描述，我对这个问题的理解是：普通的域用户的权限问题。 分析: ===== 您说到的这些情况，windows域就是设计为这样的。 默认的域用户在登录一台客户机的时候，域用户自动加入了客户机本地的“user”组，这个组只有一些基本的使用功能。而您提到的重启服务，安装程序这样的操作，是需要本机管理员权限来进行。 而域管理员是自动加入到了本机的“administrator”组的。 建议: ==== 如果您的确需要让这些用户有这些控制权限，您可以给他们本机的“administrator”权限。 这里您可以有两种选择。 1。告诉他们一个本机的管理员帐号，让他们在需要的时候切换用户来实现需要的功能。 2。把域用户加入到本机的“administrator”组使得用户始终有本机的完全控制权限。 a。右键“我的电脑”，选择“管理” b。选择“本地用户和组” c。选择“组”， d。选择其中的“administrators”并双击 c。然后把需要的域用户添加到这个组就可以实现普通的域访问权限和本机的管理员权限并存了。
另外，如果您需要某些用户对服务器的某些服务有管理权限，但是又不想赋予他们管理员权限的话。可以通过修改组策略来实现。 我们假定这些server在一个名叫“server ou”的OU中。您需要赋予权限的服务是“DNS sever” 1。在”server ou”上添加一个组策略。给它定义一个名字。 2。编辑这个组策略，展开“计算机配置\windows设置\安全设置\系统服务”3。从右面栏中找到“dns server”服务，双击。 4。选择“定义这个策略设置”启动模式按照您本来的需求设置，然后点击“编辑安全设置” 5。在弹出窗口中，选择添加。 6。输入您需要的用户(组)，然后在下面的权限栏中，赋予那个用户(组) “启动，停止和暂停”权限。 关于安装程序，您可以还可以把用户加入到本地的“power user”组，这个组的成员有权限装一部分的软件，但是涉及以下方面的程序无法安装: 1。需要修改服务，驱动，系统文件的。(例如Google输入法) 2。一些老程序会要求系统的控制权限。 3。安装前先检查用户的组身份，不属于管理员直接拒绝。 由于各种程序，特别是第三方程序的细节我们很难确定，而且有时候安装的问题不一定会立刻显示出来，我们还是建议您使用管理员权限去安装程序。
域用户本地权限设置文档 一、情况说明 本章节内容将会对域环境中的本地权限进行一些说明，并且会说明为什么域用户登陆本地机器后不能安装服务的原因，下一章节将会给出具体解决步骤，如急需解决问题的情况下可直接跳过本章节阅读下一章节内容。 在AD上建立域用户的时候，默认是隶属于Domain Uses用户组 我们登陆到加入域的客户端机器上，打开用户管理模块，我们可以发现，Domain Users组只隶属于本地的Users组，在本地的administrators组中没有Doamin Users组；然而安装windows服务必须是本地administrators组中的用户才可以安装。
从上图中可以看到，Domain Admins组默认就是在本地的administratos组中
的，这就解释了为什么通常情况下本地管理员和域管理员都能安装windows服务。 但是有些ghost安装的winXP会把本地administrators组中的Domain admins 删除，后果就导致了只有本地管理员能安装windows服务，域管理员不能安装windows服务。 为了能使加入域的客户端电脑能够安装windows服务，就需要获得本地的administrators组的权限，有如下几种方法 1、通过组策略强制把Domain Admins加入到每个客户端的本地 administrators组中，然后通过大通的权限获取机制安装大通windows服务。 2、通过组策略把Domain Users加入到每个客户端的本地administrators组 中，这样所有登陆的域用户都可以安装服务，全部安装完成后再通过组策略把Domain Users从每个客户端的本地administrators组中移除。 下一章节就是解决步骤。 二、解决步骤 方法1： 创建datong.vbs，内容如下： Set ws = WScript.CreateObject ( "WScript.Shell" ) compname = ws.ExpandEnvironmentStrings ( "%COMPUTERNAME%" ) Set adGrp = GetObject ( "WinNT://" & compname & "/Administrators,group" ) adGrp.Add ( "WinNT://Domain Admins,group" ) 在AD中右键点击“域（例如https://www.doczj.com/doc/2c3833804.html,）”——>属性——>组策略 “新建”——“组策略名称随便取”——“编辑”
域控的系统时间无法与北京时间同步的解决方案 某日, XX同事跑过来说, 我的XP的时间怎么不对啊, 比手机慢了3分钟, 我信誓旦旦的说, 这个与域控服务同步的, 没有问题, 肯定是你的手机时间错啦! ---但是既然有同事提醒, 我打开北京时间的官网一比对, 那个时候的汗那...确实慢了3分钟, 我想, DC也可能不对, 立马VNC, 哇靠, 确实如此! 查看DC注册表, 我现在的时间, 应该是跟服务器CMOS的硬件同步, 查阅MS-KB, 此方案通过同步外部时间服务器(推荐:https://www.doczj.com/doc/2c3833804.html,)来解决此问题并实现LAN内唯一特许经营时间提供商(世博专供). 以下转自Microsoft, 版权归属MS.由任何疑问, 请电联800. https://www.doczj.com/doc/2c3833804.html,/kb/816042/zh-cn 配置Windows 时间服务以使用外部时间源 要将内部时间服务器配置为与外部时间源同步，请按照下列步骤操作： 1. 将服务器类型更改为NTP。为此，请按照下列步骤操作： a. 单击“开始”，单击“运行”，键入regedit，然后单击“确定”。 b. 找到并单击下面的注册表子项： HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Parameters\Type c. 在右窗格中，右键单击“Type”，然后单击“修改”。 d. 在“编辑值”的“数值数据”框中键入NTP，然后单击“确定”。 2. 将AnnounceFlags设置为5。为此，请按照下列步骤操作： . 找到并单击下面的注册表子项： HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config\AnnounceFlags a. 在右窗格中，右键单击“AnnounceFlags”，然后单击“修改”。 b. 在“编辑DWORD 值”的“数值数据”框中键入5，然后单击“确定”。 3. 启用NTPServer。为此，请按照下列步骤操作： . 找到并单击下面的注册表子项：
时间同步客户端设置说明 一、对于那些采用UNIX平台通用操作系统的设备，如Sun OS, Unix, Linux，Solaris, IBM AIX等系统均包含有标准的时间同步模块包，安装后，直接对对应的配置文件进行配置即可实现时间同步功能。以下部分系统的配置方法供参考： AIX 版本：IBM AIX 5.1/5.2 目的：使系统通过NTP服务器进行时间校对(同时作为客户端和服务端) 方法： 1)安装NTP服务模块 2)打开etc/ntp.conf文件 3)加入NTP服务器IP地址（如服务器地址为A.B.C.D则加入”server A.B.C.D”） 4)加入IP地址：127.127.1.0（本机作为NTP Server） #broadcastclient server A.B.C.D server 127.127.1.0 driftfile /etc/ntp.drift tracefile /etc/ntp.trace 5)存盘退出 6)本机时间和NTP服务器时间差超过1000秒，需要进行人工修正。 a)、ntp客户端使用 ntpdate 命令来确认是否可用指定的 ntp 服务器进行时间同步， 命令的结果会显示客户端与服务器的时间偏移。 #ntpdate -d 192.168.30.221 …… 18 Mar 10:52:54 ntpdate[23578]: step time server 192.168.30.221 offset 86323.068272 sec b)、若时间间隔大于1000秒，使用ntpdate 进行调整, 如： #date (查询当前时间) Tue Mar 18 11:06:29 BEIST 2003 #ntpdate 192.168.30.221 (修正本机时间为NTP服务器的时间) 19 Mar 11:06:51 ntpdate[23832]: step time server 192.168.30.221 offset 86403.402607 sec #date (查询修正后的时间，时间误差应该小于1000秒) Wed Mar 19 11:06:54 BEIST 2003 7)设置xntpd进程自启动： # smit xntpd 选择Start Using the xntpd Subsyste 选择BOTH方式，表示立即启动以及系统下次启动的时候将自动启动 通过如下命令可以看到，其实xntpd是tcpip服务组的一个子服务而已 #lssrc -g tcpip Subsystem Group PID Status inetd tcpip 303118 active snmpd tcpip 651356 active xntpd tcpip 589898 active ……
WinServer 2016域控设置NTP服务器 我们公司里都应该有NTP服务器，这样所有的客户端都指向这台NTP服务器，时间就会都同步了，我们使用域控作为一台NTP服务器，并且域控会像外网上的NTP服务器同步时间，而内部的客户端都指向这台域控去获取时间。网上有很多方法，改注册表什么的，其实原理都是一样的，我们同步修改组策略来完成。我这篇是自己结合网上很多文档的终极版本。下面的PDC是你的第一台域控。你只要知道PDC就是第一台域控即可 指定外部时间源并与之同步，在PDC所在的域控制器上的管理员命令行进行操作（PDC角色（默认的域内权威的时间服务源）。 w32tm /config /manualpeerlist:" https://www.doczj.com/doc/2c3833804.html, https://www.doczj.com/doc/2c3833804.html," /syncfromflags:manual /reliable:yes /update net stop w32time & net start w32time w32tm /resync W32tm /query /status /manualpeerlist表示外部时间源服务器列表，多个服务器之间可用空格分隔，210.72.145.44是中国国家授时中心的时间服务器ip地址 /syncfromflags:manual表示与指定的外部时间源服务器列表中的服务器进行同步 /reliable:yes设置此计算机是一个可靠的时间源。此设置只对域控制器有意义。 /update向时间服务发出配置已更改的通知，使更改生效 在域环境中，只需设置根域控制器的外部时间源即可，其它服务器在添加进域中时将自动设置与域控制器时间同步。
一、市局集中端服务器上搭建NTP服务的服务端 1、在市局集中端服务器上，通过开始菜单，输入regedit命令后打开注册表设定画面。 2、修改以下选项的键值 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\TimeProviders\ NtpServer内的「Enabled」设定为1，打开NTP服务器功能
3、修改以下键值 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config\ AnnounceFlags设定为5,该设定强制主机将它自身宣布为可靠的时间源，从而使用内置的互补金属氧化物半导体(CMOS) 时钟。 4、在dos命令行执行以下命令，确保以上修改起作用 net stop w32time net start w32time 那么为了避免服务器和internet上的ntp同步，最好追加以下配置： HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\TimeProviders\
NtpClient的「enable」设定为0 以防止作为客户端自动同步外界的时间服务 二、硬盘录像机设置NTP服务的客户端 （注：只有新版型号的硬盘录像机才有NTP的功能） 1、在市局服务器IE浏览器地址栏输入硬盘录像机IP地址，进入到登陆界面，输入用户名：admin 密码：12345 端口号：8000 登陆后选择菜单“配置”， 2、在“配置”页面左边选择“远程配置”，出来“远程参数配置”页面，在“远程参数配置”页面里选择“网络参数”→“NTP设置”，“启用NTP”打上钩，“服务器地址”统一为市局集中端服务器地址，“NTP端口号”为123，校时间隔：4320（统一设置为三天，这里的单位是分钟），选择时区： ，点儿“保存”按钮。