如何阻止LOCAL SERVICE更改系统时间？解决权限删除后自动恢复问题

权限自动恢复大多是因为组策略（本地或域）后台刷新覆盖了手动修改，或是系统默认配置被触发重置，以下是可行的解决步骤：

1. 锁定本地组策略的刷新机制 #

• 打开gpedit.msc，导航到计算机配置 → 管理模板 → 系统 → 组策略
• 找到「配置组策略刷新间隔（计算机）」，设置为「已禁用」，避免后台自动覆盖安全设置
• 同理检查「配置组策略刷新间隔（用户）」，不需要的话也禁用

2. 用导出/导入策略强制锁定配置 #

• 打开secpol.msc，修改「本地策略 → 用户权限分配 → 更改系统时间」，移除LOCAL SERVICE
• 右键「本地策略」节点，选择「导出策略」，保存为.inf格式文件（比如TimeLock.inf）
• 以管理员身份打开命令提示符，执行：

  secedit /configure /db secedit.sdb /cfg TimeLock.inf
  

• 验证配置：执行secedit /export /cfg CheckPerms.inf，打开生成的CheckPerms.inf，查看SeSystemtimePrivilege项，确认仅包含Administrators

3. 域环境下排查组策略推送（如果是域成员机器） #

• 管理员权限运行gpresult /r，查看已应用的组策略对象（GPO）
• 找到包含「更改系统时间」权限配置的GPO，联系域管理员修改该GPO，移除LOCAL SERVICE的权限
• 若无法修改域GPO，可在本地组策略中打开「计算机配置 → Windows设置 → 安全设置 → 本地策略 → 用户权限分配 → 更改系统时间」，勾选「定义这些策略设置」，仅添加Administrators——本地配置会优先于非强制的域GPO

4. 禁用Windows时间服务或限制其权限（可选） #

如果LOCAL SERVICE是通过Windows时间服务修改时间，可直接限制该服务：

• 管理员打开regedit，导航到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time
• 将Start键值改为4（禁用时间服务，注意：这会关闭自动同步，需确认工作允许）
• 或右键该注册表键，选择「权限」，移除LOCAL SERVICE的「完全控制」和「写入」权限，阻止其修改服务配置

验证步骤 #

• 修改后执行gpupdate /force手动刷新组策略，再打开secpol.msc检查「更改系统时间」的成员，确认LOCAL SERVICE未被恢复
• 测试权限：管理员运行runas /user:NT AUTHORITY\LOCAL SERVICE cmd.exe，在弹出的命令行里执行date，应该提示权限不足

内容的提问来源于stack exchange，提问作者Lee Jonathan K