O Serviço de Tempo do Windows é importante no Active Directory. Por padrão, a autenticação Kerberos exige que os relógios de todas as máquinas no domínio sejam sincronizados a até cinco minutos entre si quando corrigidas as diferenças de fuso horário e o horário de verão. As máquinas cujos relógios estão fora desse intervalo não podem se autenticar e não têm acesso aos recursos do domínio.
Em um domínio do AD, o DC (Domain Controller, Controlador de Domínio) que contém a função FSMO do emulador PDC é o servidor de horário principal para todo o domínio. No entanto, isso não significa que todas as máquinas do domínio sincronizam o relógio diretamente com o emulador PDC. Outros DCs são sincronizados com o emulador PDC, enquanto os clients e os servidores membros podem ser sincronizados com qualquer DC. Nessa hierarquia, o emulador PDC deve ser a única máquina configurada para sincronização com uma origem de hora externa, como um servidor NTP público. Todo o restante no domínio deve ser configurado para sincronização com o AD. Qualquer outra configuração pode resultar em perda de sincronização do relógio.
Consulte este site TechNet para obter informações detalhadas sobre como o serviço de Tempo do Windows funciona.
Determinar a extensão do problema
A primeira etapa para solucionar um problema do Serviço de Tempo do Windows deve ser determinar quantas máquinas foram afetadas. Se a hora estiver incorreta em apenas uma máquina, as etapas necessárias para corrigir o problema serão diferentes das etapas necessárias para corrigir um problema de horário em todo o domínio.
Se apenas algumas máquinas foram afetadas
- Se a máquina afetada estiver executando o Windows Vista ou posterior, execute w32tm /query /source em um prompt de comando para determinar a origem de tempo da máquina afetada. Uma origem de hora externa só deve ser listada se este comando for executado no emulador PDC. Caso contrário, o comando deve gerar o nome de um DC no domínio.
- O comando w32tm /query /status também mostra a origem de tempo da máquina e outras informações que podem ser úteis. O switch /verbose fornece ainda mais informações. Assim como acontece com o primeiro comando, esses comutadores só estão disponíveis em máquinas que executam o Windows Vista ou posterior.
- Se a origem de tempo correta estiver listada, será possível usar o w32tm /resync para tentar sincronizar novamente o relógio da máquina com a origem de tempo. A adição do switch /rediscover a esse comando faz com que a máquina tente primeiro descobrir origens de tempo de rede e, em seguida, tente uma nova sincronização.
- Para alterar a origem de hora da máquina, você pode usar um dos dois comandos:
O comando w32tm /config /syncfromflags:DOMHIER /update configura a máquina para usar a hierarquia de domínio (AD) como sua origem de tempo.
w32tm /config /syncfromflags:MANUAL /manualpeerlist:<list> /update configura a máquina para usar os servidores de horário na <lista> como sua fonte de tempo.
Nota: Se vários servidores de horário forem especificados na <lista>, eles deverão ser separados por espaços, e a lista inteira deverá ser colocada entre aspas.
Se todo o domínio for afetado
- Se a hora estiver incorreta em todas as máquinas do domínio, é provável que o emulador PDC seja a origem do problema. Execute o comando netdom query fsmo em um DC para determinar qual DC detém a função de emulador PDC.
- Execute w32tm /query /source em um prompt de comando no emulador PDC para garantir que ele esteja configurado para sincronização com uma origem de tempo externa. O emulador PDC nunca deve ser configurado para sincronização com o domínio, pois ele é a origem de tempo principal do domínio.
- Se o emulador PDC for uma máquina virtual (VM), desative a sincronização do relógio do host convidado. O procedimento para fazer isso depende do sistema operacional em execução no host de virtualização.
- Para configurar o emulador PDC para sincronização com um ou mais servidores de horário externos, use o seguinte comando:
w32tm /config /syncfromflags:MANUAL /manualpeerlist:<list> /update
Nota: Se vários servidores de horário forem especificados na <lista>, eles deverão ser separados por espaços, e a lista inteira deverá ser colocada entre aspas.
Configurações de registro do Serviço de Tempo do Windows
Os comandos w32tm especificados nos procedimentos acima fazem alterações nos valores do registro do Serviço de Tempo do Windows, que estão localizados sob a seguinte chave de registro:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time
Obviamente, também é possível definir esses valores manualmente em vez de usar comandos w32tm. Se você optar por fazer isso, os seguintes sites podem ser úteis:
Política de grupo
Se você fizer alterações no Serviço de Tempo do Windows usando os comandos w32tm ou o registro, mas essas alterações não entrarem em vigor de forma alguma ou entrarem em vigor por pouco tempo antes de serem revertidas para os valores anteriores, talvez um Objeto de política de grupo (GPO) esteja substituindo as alterações. As configurações de política de grupo do Serviço de Tempo do Windows incluem muitos dos mesmos itens que podem ser configurados por meio do registro ou dos comandos w32tm. Essas configurações podem ser encontradas nos seguintes locais:
Computer Configuration\Policies\Administrative Templates\System\Windows Time Service
Redefina os valores de registro do Serviço de Tempo do Windows para as configurações padrão
Se nada mais funcionar, este procedimento redefinirá o Serviço de Tempo do Windows para as configurações padrão:
- Abra o console de serviços e interrompa o Serviço de Tempo do Windows (ou execute net stop w32time em um prompt de comando) se ele estiver em execução.
- Abra um prompt de comando elevado e execute w32tm /unregister para remover o Serviço de Tempo do Windows do registro. O serviço não está mais listado no Console de serviços.
- Execute w32tm /register para recriar o serviço com as configurações padrão de registro.
- Faça todas as alterações necessárias no registro e inicie o Serviço de Tempo do Windows no console de serviços ou com o comando net start w32time.