Win10 如何禁止使用者修改系統時間？本地安全性原則一鍵鎖定

惡意軟體、特定程式或誤操作修改系統時間，會導致 SSL 憑證驗證失效、排程任務錯亂、日誌時間混亂等嚴重問題。Win10 專業版/企業版可透過 **本地安全性原則 (secpol.msc)** 移除使用者的「變更系統時間」權限，從系統層面杜絕竄改。

設定前提

• Win10 專業版、企業版、教育版 (家用版無 secpol.msc，需用註冊表或群組原則替代方案)。
• **先確認系統時間正確 (同步網路時間)**，設定後將無法手動修改。
• 需以**系統管理員身分**執行。

操作步驟

1. Win+X → 「執行」 → 輸入 secpol.msc → 確定。
2. 左側展開：「本地原則」→「使用者權限指派」。
3. 右側找到 「變更系統時間」，雙擊開啟。
4. 在「本地安全性設定」頁籤，選中所有使用者/群組 (如 Users, Administrators, SYSTEM 等) → 點選「移除」。
5. 點選「套用」→「確定」。
6. **立即生效**，無需重開機。嘗試右鍵工作列時間 → 「調整日期/時間」→ 「變更」按鈕將變灰無法操作。

⚠️ 重要補充

• 移除後連管理員也無法透過 GUI 修改時間。若需修改，須暫時將權限加回、改完再移除，或用命令列 date/time 指令 (需管理員權限)。
• 網路時間同步 (NTP) 不受影響：w32time 服務以 SYSTEM 權限運行，仍可自動同步網路時間。
• 家用版替代方案： 註冊表 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Parameters 設定 Type = NTP 強制同步，並透過 gpedit.msc (若可用) 或第三方工具限制控制台存取。

時間即信任基石。鎖定系統時間修改權限，配合強制 NTP 同步，為系統安全、軟體授權驗證、審計日誌建立可信時間基準。企業環境強烈建議部署！