PowerScale：群集上的时间未与 Active Directory 同步

• Windows 客户端无法向群集进行身份验证。
• 发送有关时间同步错误的警报。
• 而 /var/log/messages 文件包含类似于以下内容的条目：
   

  2014-04-07T04:15:01-03:00 <4.5> example-1(id1) lsass[60726]: GSSAPI Error: Unspecified GSS failure. Minor code may provide more information (Clock skew too great)
  2014-04-07T07:41:28-03:00 <30.3> example-3(id3) lsass[59264]: [lsass] Resetting schannel due to status STATUS_TIME_DIFFERENCE_AT_DC (0xc0000133) while authenticating user 'LAB\jdoe'
  2014-04-07T07:41:28-03:00 <30.3> example-3(id3) lsass[59264]: [lsass] AD_NetrlogonOpenSchannel(dc1.example.com) failed with 3221225779 (0xc0000133) (symbol: 'STATUS_TIME_DIFFERENCE_AT_DC')
  2014-04-07T07:41:28-03:00 <30.3> example-3(id3) lsass[59264]: [lsass] Network error connecting to EXAMPLE.COM. Error code: 40134 (symbol: LW_ERROR_RPC_ERROR)
  2014-04-07T07:41:28-03:00 <30.5> example-3(id3) lsass[59264]: [lsass] Domain 'example.com' is now offline

在 OneFS 中，时间同步以两种方式进行管理：

• 内部时间同步（在群集节点内）

• 外部时间同步（群集外部）

当群集加入 AD 域时，默认情况下，它使用 Server Messenger 块 （SMB） 进行外部时间同步，精确到秒。在内部，网络时间协议 （NTP） 以毫秒级精度管理时间同步。

为了防止在与 AD 域控制器同步时进行大量时间更正，请将控制器配置为使用 NTP 而不是 SMB，以实现更高的精度。重大调整可能会导致性能问题，例如 Kerberos 票证显示为已过期并触发身份验证错误。

验证群集与域之间的时间偏差：

运行以下命令以验证节点和域控制器上的日期和时间：

确认时间同步设置正确：

执行以下所有步骤以配置 AD 域控制器，并确保群集与 AD 控制器正确同步。

在 Active Directory 服务器上配置 NTP：

对于 Windows 2003 - 2012 Server，将 NTP 配置为指向 NTP 服务器。有关详细信息，请参阅 Microsoft TechNet 网站上的 Windows 时间服务工具和设置 页。

注意
如果其中一个 AD 域控制器无法访问，请确保有两个 AD 域控制器可用于冗余。时间必须遵循准确的层次结构，可以来自公共 NTP 服务器，也可以来自内部源（例如配备 GPS 的系统）。

验证 AD 域控制器是否支持 NTP，以及 NTP 是否未被防火墙或其他设置阻止：

1. 在群集中的任意节点上打开 SSH 连接，并使用“root”帐户登录。

2. 运行以下命令，其中 <ipaddr1> 和 <ipaddr2> 是第一个和第二个 AD 域控制器的 IP 地址：

如果 AD 域控制器支持 NTP，则每个命令的输出会类似于以下内容：

如果 AD 域控制器不支持 NTP，则输出会类似于以下内容，在这种情况下，您应联系域管理员以获得帮助。

设置群集上的时间以匹配 AD 域控制器上的时间：

1. 在群集中的任意节点上打开 SSH 连接，并使用“root”帐户登录。
2. 运行以下命令，其中 <ippaddr1> 是您希望群集与之同步的 AD 域控制器的 IP 地址：

输出类似于以下内容：

删除 ntp.drift 文件：

而 ntp.drift 文件是系统时钟的时钟漂移记录。系统在积累足够的数据后重新创建此文件。

1. 在群集中的任意节点上打开 SSH 连接，然后使用“root”帐户登录。

2. 根据您运行的 OneFS 版本，从命令行运行以下命令之一：

将群集配置为使用 AD 域控制器作为 NTP 服务器：

1. 打开 OneFS Web 管理界面，然后执行以下作之一：

• 在 OneFS 7.0 及更高版本中，单击Cluster ManagementGeneral > SettingsNTP>选项卡。

• 对于每个 AD 域控制器，在 服务器 IP 或主机名 框中输入 IP 地址，然后单击 添加。

2. 单击 Submit。

或者，也可以从命令提示符完成此任务：

1. 在群集中的任意节点上打开 SSH 连接，并使用“root”帐户登录。

2. 运行以下命令，其中 <ipaddr1> 和 <ipaddr2> 是第一个和第二个 AD 域控制器的 IP 地址：