Dela via

Rekommendation – konfigurera rot-PDC med en auktoritativ tidskälla och undvik omfattande tidsförvrängning

  • Artikel

Varför överväga detta

Rot-PDC-emulatorn är inte inställd på att använda en NTP-server (Network Time Protocol). Många Windows- och nätverksfunktioner är beroende av robust tidssynkronisering i nätverket. Fel av tidssynkroniseringen kan orsaka en mängd olika problem, framförallt inloggningsfel. Kerberos-autentisering och anspråksbaserad enkel inloggning kan misslyckas på grund av tidsskillnader.

Se en kundtekniker förklara problemet

Sammanhang och bästa praxis

Som standard synkroniserar alla datorer och enheter i en domän systemtiden med hjälp av domänhierarkin. Domänmedlemmar synkroniserar tid med domänkontrollanter, som i sin tur synkroniserar tid med domänkontrollanten som kör PDC-emulatorrollen. PDC-emulatorn för skogsrotdomänen är överst i domänhierarkin och därför är det ogiltigt att konfigurera den här domänkontrollanten för att synkronisera tid med domänhierarkin. Windows tidstjänst varnar dig om det här villkoret genom att skriva händelse-ID 12 till Windows-händelseloggen från W32Time-händelsekällan.

I vissa fall får PDC-emulatorn sin tid från BIOS-klockan. Detta tillvägagångssätt har dock nackdelar. Om tid och datum inte anges korrekt i PDC-emulatorn BIOS blir tids- och datuminställningarna felaktiga i hela domänen. Om PDC-emulatorn kopplas från kan domänmedlemmarna inte synkronisera tiden. En bättre metod är att konfigurera PDC-emulatorn för att synkronisera tiden direkt med en extern tidskälla. Alternativt kan du konfigurera en annan enhet inom din domän för att synkronisera tid med en extern tidstjänst och sedan konfigurera PDC-emulatorn att använda din interna tidsserver som auktoritativ tidskälla.

Auktoritativa externa tidskällor är Internetinriktade tjänster, vanligtvis underhålls av statliga, vetenskapliga eller utbildningsanstalter som gör att du kan synkronisera systemtiden med hjälp av Network Time Protocol (NTP). NIST tillhandahåller till exempel tidsservrar på olika platser i USA.

Föreslagna åtgärder

Du kan konfigurera domänkontrollanten som innehar PDCE-rollen för att använda en NTP-server för att synkronisera tid, det finns flera metoder.

Så här konfigurerar du tidssynkronisering via kommandoraden:

I PDC-emulatorn öppnar du den administrativa kommandotolken och använder följande kommandon:

w32tm.exe /config /syncfromflags:manual /manualpeerlist:131.107.13.100,0x8 /reliable:yes /update

w32tm.exe /config /update

Obs!

IP-adressen i exemplet är en National Institute of Standards and Technology (NIST)-tidsserver på Microsoft i Redmond, Washington. Ersätt den här IP-adressen med den tidstjänst du väljer.

Så här konfigurerar du tidssynkronisering via registerredigering på PDC-emulatorn:

  1. Öppna Registereditorn (regedit.exe).

  2. Gå till följande registernyckel: HKLM\System\CurrentControlSet\Services\W32Time\Parameters.

  3. Om du vill använda en viss NTP-källa ändrar du Typ- värdet till NTP.

  4. Ändra NtpServer-värdet så att den innehåller NTP-servern för att synkronisera tiden med följt av 0x8, till exempel 131.107.13.100,0x8. Vid flera NTP-servrar måstede vara mellanslagsseparerade, till exempel 131.107.13.100,0x8 24.56.178.140,0x8

  5. Öppna en administrativ kommandotolk och kör följande kommando: w32tm /config /update.

Så här konfigurerar du tidssynkronisering via grupprincip:

  1. Öppna Group Policy Management Console

  2. Skapa ett nytt GPO

  3. Öppna GPO och navigera till Datorinställningar -> Administrativa mallar -> System -> Windows Tidstjänst -> Tidsleverantörer

  4. Dubbelklicka på Konfigurera Windows NTP-klient.

  5. Ställ in status på Aktiverad.

  6. Konfigurera Typ till NTP.

  7. Konfigurera NTPServern till att peka på en IP-adress för en tidsserver, följt av ,0x8 Till exempel: 131.107.13.100,0x8

  8. Stäng redigeraren för grupprinciper

  9. I Säkerhetsfiltrering-fönstret för policyhanteringskonsolen tar du bort Autentiserade användare för den nyskapade policyn och lägg till den maskin som innehåller PDC Emulator-rollen

  10. Länka GPO:n till DomänkontrollenOU

Obs!

Grupprincipinställningarna för Windows Time skrivs till registersökvägen HKLM\Software\Policies\Microsoft\W32time.

Instruktioner för felsökning

Om du vill se den aktuella konfigurationen av Windows tidstjänst använder du följande kommando i en upphöjd kommandotolk:

w32tm /query /configuration

Om du vill visa den aktuella källan för tidssynkronisering använder du följande kommando:

w32tm /query /source

Läs mer

Mer information om NIST Internet Time Service finns i NIST Internet Time Service (ITS).

Mer information om Windows Time Service finns i Hur Windows Time Service fungerar.