Служба времени Windows важна в Active Directory. По умолчанию проверка подлинности Kerberos требует, чтобы часы на всех компьютерах в домене были синхронизированы с точностью до пяти минут друг с другом с поправкой на разницу в часовых поясах и переход на летнее время. Компьютеры, часы которых находятся за пределами этого диапазона, не могут проходить аутентификацию и не имеют доступа к ресурсам домена.
В домене AD контроллер домена (DC) с ролью FSMO «Эмулятор PDC» является основным сервером времени для всего домена. Однако это не означает, что каждый компьютер в домене синхронизирует свои часы непосредственно с эмулятором PDC. Другие контроллеры домена синхронизируются с эмулятором PDC, а рядовые серверы и клиенты могут синхронизироваться с любым контроллером домена. В этой иерархии эмулятор PDC должен быть единственным компьютером, на котором настроена синхронизация с внешним источником времени (например, с общедоступным сервером NTP). Все остальные компоненты домена должны быть настроены на синхронизацию с AD. Любая другая конфигурация может привести к потере синхронизации часов.
Подробные сведения о работе службы времени Windows см. на этом сайте TechNet .
Определите масштаб проблемы
Первым шагом в устранении неполадок службы времени Windows должно быть определение количества затронутых компьютеров. Если время неверно только на одном компьютере, действия, необходимые для устранения проблемы, отличаются от шагов, необходимых для устранения проблемы времени на уровне домена.
Если проблема касается только нескольких машин
- Если затронутый компьютер работает под управлением Windows Vista или более поздней версии, выполните команду w32tm /query /source в командной строке, чтобы определить источник времени затронутого компьютера. Внешний источник времени должен отображаться только в том случае, если эта команда выполняется на эмуляторе PDC; в противном случае команда должна вывести имя контроллера в домене.
- Команда w32tm /query /status также показывает источник времени компьютера и другую потенциально полезную информацию. Параметр /verbose предоставляет дополнительные сведения. Как и в случае первой команды, эти переключатели доступны только на компьютерах под управлением Windows Vista или более поздней версии.
- Если указан правильный источник времени, можно использовать команду w32tm /resync для повторной синхронизации часов компьютера с источником времени. При добавлении параметра /rediscover к этой команде компьютер сначала пытается обнаружить сетевые источники времени, а затем выполняет повторную синхронизацию.
- Для изменения источника времени компьютера можно использовать одну из следующих двух команд:
w32tm /config /syncfromflags:DOMHIER /update настраивает компьютер на использование иерархии домена (AD) в качестве источника времени.
w32tm /config /syncfromflags:MANUAL /manualpeerlist:<list> /update настраивает компьютер на использование серверов времени из <списка в качестве> источника времени.
ПРИМЕЧАНИЕ. Если в <списке> указано несколько серверов времени, они должны быть разделены пробелами, а весь список должен быть заключен в кавычки.
Если проблема касается всего домена
- Если время указано неправильно на всех компьютерах в домене, вероятно, источником проблемы является эмулятор PDC. Выполните команду netdom query fsmo на контроллере домена, чтобы определить, какой контроллер имеет роль эмулятора PDC.
- Выполните команду w32tm /query /source из командной строки эмулятора PDC, чтобы убедиться, что он настроен на синхронизацию с внешним источником времени. Эмулятор PDC никогда не следует настраивать на синхронизацию с доменом, так как он является основным источником времени домена.
- Если эмулятор PDC представляет собой виртуальную машину (ВМ), отключите синхронизацию часов гостевого хоста. Эта процедура различается в зависимости от операционной системы, запущенной на хосте виртуализации.
- Чтобы настроить эмулятор PDC для синхронизации с одним или несколькими внешними серверами времени, используйте следующую команду:
w32tm /config /syncfromflags:MANUAL /manualpeerlist:<list> /update
ПРИМЕЧАНИЕ. Если в <списке> указано несколько серверов времени, они должны быть разделены пробелами, а весь список должен быть заключен в кавычки.
Настройки реестра службы времени Windows
Команды w32tm, указанные в приведенных выше процедурах, вносят изменения в значения реестра службы времени Windows, которые находятся в следующем разделе реестра:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time
Эти значения можно задавать вручную, а не с помощью команд «w32tm». Если вы решите сделать это, вам могут пригодиться следующие веб-сайты:
Групповая политика
Если вы вносите изменения в службу времени Windows с помощью команд w32tm или с помощью реестра, но эти изменения не вступают в силу вообще или вступают в силу только в течение короткого времени, прежде чем вернуться к своим предыдущим значениям, возможно, имеется объект групповой политики (GPO), переопределяющий ваши изменения. Параметры групповой политики для службы времени Windows включают в себя многие из тех же элементов, которые можно настроить с помощью реестра или команд w32tm. Эти настройки можно найти в следующих местоположениях:
Computer Configuration\Policies\Administrative Templates\System\Windows Time Service
Восстановите значения реестра службы времени Windows по умолчанию
Если ничего не помогает, эта процедура сбрасывает настройки службы времени Windows до значений по умолчанию:
- Откройте консоль «Службы» и остановите службу времени Windows (или выполните команду net stop w32time из командной строки), если она запущена.
- Откройте командную строку с повышенными правами и выполните команду w32tm /unregister, чтобы удалить службу времени Windows из реестра. Служба больше не отображается в консоли служб.
- Выполните w32tm /register , чтобы повторно создать службу с параметрами реестра по умолчанию.
- Внесите необходимые изменения в реестр, затем запустите службу времени Windows в консоли «Службы» или с помощью команды net start w32time.