De Windows Time-service is belangrijk in Active Directory. Kerberos-authenticatie vereist standaard dat de klokken op alle computers in het domein binnen vijf minuten van elkaar worden gesynchroniseerd wanneer ze zijn gecorrigeerd voor verschillen in de tijdzone en zomertijd. Machines waarvan de klokken buiten dit bereik vallen, kunnen niet worden geverifieerd en hebben daarom geen toegang tot domeinbronnen.
Binnen een AD-domein is de domeincontroller (DC) die de PDC-emulator FSMO-rol bezit de primaire tijdserver voor het hele domein. Dit betekent echter niet dat elke computer in het domein de klok rechtstreeks synchroniseert met de PDC-emulator. Andere DC’s synchroniseren met de PDC-emulator, maar lidservers en clients kunnen synchroniseren met elke willekeurige DC. In deze hiërarchie moet de PDC-emulator de enige computer zijn die is geconfigureerd voor synchronisatie met een externe tijdsbron, zoals een openbare NTP-server. Al het andere in het domein dient te worden geconfigureerd om te synchroniseren met AD. Elke andere configuratie kan leiden tot verlies van kloksynchronisatie.
Raadpleeg deze TechNet-website voor gedetailleerde informatie over hoe de Windows Time-service werkt.
Bepaal de omvang van het probleem
De eerste stap bij het oplossen van problemen met een Windows Time-service moet zijn het bepalen van hoeveel computers dit probleem hebben. Als de tijd onjuist is op slechts één computer, zullen de stappen die nodig zijn om het probleem op te lossen afwijken van de stappen die nodig zijn om een tijdsprobleem in de hele domein op te lossen.
Als het slechts enkele computers betreft
- Als de betreffende computer Windows Vista of later heeft, voert u w32tm /query /source uit vanaf een opdrachtprompt om de tijdbron van de betreffende computer te bepalen. Een externe tijdbron zou alleen weergegeven mogen worden als deze opdracht wordt uitgevoerd op de PDC-emulator, anders zou de opdracht de naam van een DC in het domein moeten weergeven.
- De opdracht w32tm /query /status toont ook de tijdbron van de machine en andere mogelijk nuttige informatie. De schakeloptie /verbose biedt zelfs nog meer informatie. Net als bij de eerste opdracht, zijn deze switches alleen beschikbaar op computers waarop Windows Vista of nieuwer wordt uitgevoerd.
- Als de juiste tijdbron in de lijst staat, kunt u w32tm /resync gebruiken om de klok van de computer opnieuw te synchroniseren met de tijdbron. Door de schakeloptie /rediscover aan deze opdracht toe te voegen, zal de computer eerst proberen netwerktijdbronnen te ontdekken, en daarna proberen een hersynchronisatie uit te voeren.
- Als u de tijdbron van de computer wilt wijzigen, kunt u een van de volgende twee opdrachten gebruiken:
w32tm /config /syncfromflags:DOMHIER /update configureert de computer om de domeinhiërarchie (AD) als tijdbron te gebruiken.
w32tm /config /syncfromflags:MANUAL /manualpeerlist:<lijst> /update configureert de computer om de tijdservers in <lijst> als de tijdbron te gebruiken.
OPMERKING: Als meerdere tijdservers worden gespecificeerd in <lijst>, moeten ze worden gescheiden door spaties en moet de gehele lijst tussen aanhalingstekens worden geplaatst.
Als het hele domein wordt beïnvloed
- Als de tijd onjuist is op alle computers in het domein, is de PDC-emulator waarschijnlijk de oorzaak van het probleem. Voer de opdracht netdom query fsmo uit op een DC om te bepalen welke DC de rol van PDC-emulator bezit.
- Voer w32tm /query /source uit vanaf een opdrachtprompt op de PDC-emulator om er zeker van te zijn dat deze is geconfigureerd om te synchroniseren met een externe tijdbron. De PDC-emulator mag nooit worden geconfigureerd om te synchroniseren met het domein, aangezien het de primaire tijdbron van het domein is.
- Als de PDC-emulator een virtuele machine (VM) is, schakelt u de kloksynchronisatie van de gasthost uit. De procedure hiervoor hangt af van het besturingssysteem dat op de virtualisatiehost wordt uitgevoerd.
- Als u de PDC-emulator wilt configureren voor synchronisatie met een of meer externe tijdservers, gebruikt u de volgende opdracht:
w32tm /config /syncfromflags:MANUAL /manualpeerlist:<lijst> /update
OPMERKING: Als meerdere tijdservers worden gespecificeerd in <lijst>, moeten ze worden gescheiden door spaties en moet de gehele lijst tussen aanhalingstekens worden geplaatst.
Registerinstellingen van de Windows Time-service
De w32tm-opdrachten die in de bovenstaande procedures worden gespecificeerd, brengen wijzigingen aan in de registerwaarden van de Windows Time-service, die zich allemaal bevinden onder de volgende registersleutel:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time
Het is natuurlijk mogelijk om deze waarden handmatig in te stellen in plaats van w32tm-opdrachten te gebruiken. Als u ervoor kiest om dit te doen, kunnen de volgende sites nuttig blijken:
Groepspolicy
Als u wijzigingen aanbrengt in de Windows Time-service met behulp van w32tm-opdrachten of het register, maar deze wijzigingen helemaal niet van kracht worden of slechts korte tijd van kracht worden voordat u terugkeert naar hun vorige waarden, kan er een Groepsbeleidsobject (GPO) zijn dat uw wijzigingen overschrijven. Groepsbeleidsinstellingen voor de Windows Time-service bevatten veel van dezelfde items die kunnen worden geconfigureerd met behulp van het register of w32tm-opdrachten. Deze instellingen kunt u vinden op de volgende locatie:
Computerconfiguratie\Beleid\Beheersjablonen\Systeem\Windows Time-service
De registerwaarden van de Windows Time-service terugzetten naar de standaardinstellingen
Als alle andere problemen mislukken, wordt met deze procedure de Windows Time-service teruggezet op de standaardinstellingen:
- Open de Services-console en stop de Windows Time-service (of voer net stop w32time uit vanaf een opdrachtprompt) als deze is ingeschakeld.
- Open een opdrachtprompt met verhoogde bevoegdheid en voer w32tm /unregister uit om de Windows Time-service uit het register te verwijderen. De service wordt niet meer in de Services-console weergegeven.
- Voer w32tm /register uit om de service opnieuw te maken met de standaard registerinstellingen.
- Breng de gewenste wijzigingen aan in het register en start de Windows Time-service in de Services-console of met de opdracht net start w32time.