Zeitsynchronisation für Windows-Clients im Netzwerk

Hallo miteinander,

ich stehe vor folgendem Problem und wüßte nicht, welcher Lösungsweg der 'Beste' ist. Ich hoffe auf Eure Hilfe und Unterstützung. Folgendes Szenario:

- IPCop mit Zeitserverdient (lauscht auf UDP:123) und hat immer die aktuelle Uhrzeit, da er sie sich vom Internet alle paar Stunden holt.

- Mein PDC ist ein Sambaserver und mittels dem Paket NTP halte ich die Linuxsystemzeit immer aktuell mit dem IPCop.

- Auf dem PDC/Sambaserver verwende ich "time server = yes" somit funktioniert er auch als Zeitserver. Alle Windows-Clients, die sich an dieser Domäne anmelden erhalten also die Anweisung ihre Zeit mit ihm zu aktualisieren.

Problem --> Das funktioniert aber leider nur, wenn der anmeldende Domänenbenutzer an dem Windows-Client mindestens Hauptbenutzerrechte hat. Leider sind meine Domänenbenutzer keine Hauptbenutzer, sondern nur "normale" Benutzer. Sie haben also kein Recht die Systemzeit zu ändern.

Ich kann jetzt natürlich auf dem Client die lokale Gruppenrichtlinie/Benutzerrechte so einstellen, dass auch diese 'normale' Domänenuser oder einfachhalber "JEDER" die Systemzeit ändern kann. Dann klappt das auch, nach der Anmeldung wird die "richtige" Uhrzeit vom PDC geholt und lokal am Client eingestellt.

Jetzt habe ich aber wirklich keine Lust auf 200 Clients diese Einstellung durchzuführen, denn von Turnschuhadministration halte ich nicht viel. Jetzt sagen die meisten sicherlich: dann verteils per GPO! Ich würd's ja liebend gerne, aaaaaber: ich verwende kein AD und hab leider keine GPOs (jaja, hoffentlich kommt bald Samba4 stable *gääähn*)

Wie soll ich die lokalen Gruppenrichtlinien all der Windows-Clients so abändern,dass alle User das Recht besitzen die Systemzeit zu ändern???

Selbst wenn ich das irgendwie hinkriegen sollte, stellt sich für mich noch folgendes Problem: die Zeitanpassung würde dann quasi nur nach einer Anmeldung an der Domäne erfolgen. Der Domänenuser XY loggt sich an der Domäne an und erhält dadurch die Zeit von diesem PDC. Er hat das Recht und passt seine lokale Systemzeit an. Soweit ok, aber: es gibt teilweise Rechner die nutzen einen Domänenaccount, die sind aber monatelang non-stop eingeloggt ohne sich abzumelden. Das sind meist irgendwelche lokalen Serverdienste oder Spezialfälle. Das bedeutet, dass solche Clients nicht up-to-date wären, denn ihre Systemzeit aktualisiert sich nur bei den Domänenlogins.

Also wäre es nicht besser, dass ich auf allen Clients die Internetzeit-Synchronisation einstelle? Ab WinXP gibts das doch, Win2k hat das glaub gar nicht ??? Rechtsklick auf die Uhr, Datum/Uhrzeit ändern, und dann ganz rechts auf den Reiter [Internetzeit] klicken. Dort kann ich einen Server einstellen. Die entsprechenden Registry-Keys sind dann auf
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\W32Time

Das scheint mir doch die 'richtige' Lösung zu sein, und sehr naheliegend dass es sich hier um einen NTP-Client handelt. Oder irre ich mich? Ich würde also als Server entweder IPCOP eintragen oder von mir aus die IP des PDC/Domänencontrollers, denn beide können NTP-dienste leisten.

Allerdings bin ich auch hier auf Skepsis gestossen, denn: der Versuch bei einigen Windows-Clients (XP + Win7) hierdurch die Zeit zu syncen schlug fehl mit Ergebnis TimeOut-Fehler. Irgendwann hats geklappt, aber ich fand keinen Zusammenhang. Linux-Clients haben null Probleme, dessen NTP-Dienst kann problemlos mit meinem NTP-Dienst auf IPCOP oder dem DOMÄNENCONTROLLER kommunizieren und die Zeit abholen. Kann es sein, dass es evtl. daran liegt ==> http://www.meinberg.de/german/faq/faq_28.htm


Wie sehen die Meinungen der Pro's aus, und welchen Weg würdet ihr mir empfehlen, damit ich alle Windows-Clients synchron halte?

Danke an Allen im Voraus.