Dimitry Sibiryakov , синхронизация времени с контроллером домена - это операция, идеологически привязанная не к пользователю, который аутентифицировался в домене, а к рабочей станции, которая подключилась к домену. И решать её следует соответственно.
А любые решения уровня политик пользователя ( в т.ч. логон-скриптов) - это решения через опу.

Dimitry Sibiryakovрабочие станции (Вин ХР тогда ещё) пытались синхронизироваться, но на установку нового локального времени прав не хваталоПо умолчанию в момент аутентификации объекта "Рабочая станция" служба времени выполняет синхронизацию времени с контроллером. Если возникли проблемы, то причин может быть вагон и маленькая тележка... мне приходилось лично видеть или от проверенных товарищей слышать о:

Остановлена служба NTP на контроллере.
Неверно сконфигурирована служба NTP на контроллере.
Остановлена служба времени на рабочей станции.
Изменена учётная запись, от имени которой стартует служба времени.
Неверно вручную настроен источник времени в домене.
У локальных служб отобрали права на установку локального времени.
На файрволе зафильтровали UDP 123.

Все эти случаи - лечились приведением конфигурации к штатной форме.

Исключением был случай, когда в качестве основного сервиса каталога был eDirectory, в AD выполнялась фоновая аутентификация. Но тут и не нужна была синхронизация средствами Windows, её следовало отключить, а синхронизацию выполнял Netware Client.