O Serviço de Tempo do Windows é importante no Active Directory. Por padrão, a autenticação Kerberos requer que os relógios em todas as máquinas no domínio sejam sincronizados para um período de cinco minutos entre cada um deles quando corrigidos para diferenças de fuso horário e horário de verão. As máquinas cujos relógios estiverem fora desse intervalo não poderão ser autenticadas e, portanto, não terão acesso aos recursos do domínio.
Em um domínio do AD, o DC (Domain Controller, Controlador de Domínio) que contém a função FSMO do emulador PDC é o servidor de horário principal para todo o domínio. No entanto, isso não significa que todas as máquinas do domínio sincronizam o relógio diretamente com o emulador PDC. Outros DCs são sincronizados com o emulador PDC, enquanto os clients e os servidores membros podem ser sincronizados com qualquer DC. Nessa hierarquia, o emulador PDC deve ser a única máquina configurada para sincronização com uma origem de hora externa, como um servidor NTP público. Todo o restante no domínio deve ser configurado para sincronização com o AD. Qualquer outra configuração pode resultar em perda de sincronização do relógio.
Consulte este site do TechNet para obter informações detalhadas sobre como funciona o Serviço de Tempo do Windows.
Determinar a extensão do problema
A primeira etapa para solucionar um problema do Serviço de Tempo do Windows deve ser determinar quantas máquinas foram afetadas. Se o tempo estiver incorreto em apenas uma máquina, as etapas necessárias para corrigir esse problema serão diferentes das etapas necessárias para corrigir um problema de tempo em todo o domínio.
Se apenas algumas máquinas foram afetadas
- Se a máquina afetada estiver executando o Windows Vista ou posterior, execute w32tm /query /source em um prompt de comando para determinar a origem de tempo da máquina afetada. Uma origem de hora externa só deve ser listada se este comando for executado no emulador PDC. Caso contrário, o comando deve gerar o nome de um DC no domínio.
- O comando w32tm /query /status também mostra a origem de tempo da máquina e outras informações que podem ser úteis. O switch /verbose fornece ainda mais informações. Assim como acontece com o primeiro comando, esses comutadores só estão disponíveis em máquinas que executam o Windows Vista ou posterior.
- Se a origem de tempo correta estiver listada, será possível usar o w32tm /resync para tentar sincronizar novamente o relógio da máquina com a origem de tempo. A adição do switch /rediscover a esse comando faz com que a máquina tente primeiro descobrir origens de tempo de rede e, em seguida, tente uma nova sincronização.
- Para alterar a origem de hora da máquina, você pode usar um dos dois comandos:
O comando w32tm /config /syncfromflags:DOMHIER /update configura a máquina para usar a hierarquia de domínio (AD) como sua origem de tempo.
O comando w32tm /config /syncfromflags:MANUAL /manualpeerlist:<list> /update configura a máquina para usar os servidores de horário em <list> como a origem de tempo.
NOTA: Se vários servidores de horário forem especificados em <list>, eles deverão estar separados por espaços, e toda a lista deverá ser delimitada por aspas.
Se todo o domínio for afetado
- Se a hora estiver incorreta em todas as máquinas do domínio, é provável que o emulador PDC seja a origem do problema. Execute o comando netdom query fsmo em um DC para determinar qual DC detém a função de emulador PDC.
- Execute w32tm /query /source em um prompt de comando no emulador PDC para garantir que ele esteja configurado para sincronização com uma origem de tempo externa. O emulador PDC nunca deve ser configurado para sincronização com o domínio, pois ele é a origem de tempo principal do domínio.
- Se o emulador PDC for uma máquina virtual (VM), desative a sincronização do relógio do host convidado. O procedimento para fazer isso depende do sistema operacional em execução no host de virtualização.
- Para configurar o emulador PDC para sincronização com um ou mais servidores de horário externos, use o seguinte comando:
w32tm /config /syncfromflags:MANUAL /manualpeerlist:<list> /update
NOTA: Se vários servidores de horário forem especificados em <list>, eles deverão estar separados por espaços, e toda a lista deverá ser delimitada por aspas.
Configurações de registro do Serviço de Tempo do Windows
Os comandos w32tm especificados nos procedimentos acima fazem alterações nos valores do registro do Serviço de Tempo do Windows, que estão localizados sob a seguinte chave de registro:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time
Obviamente, também é possível definir esses valores manualmente em vez de usar comandos w32tm. Se você optar por fazer isso, os seguintes sites podem ser úteis:
Política de grupo
Se você fizer alterações no Serviço de Tempo do Windows usando os comandos w32tm ou o registro, mas essas alterações não entrarem em vigor de forma alguma ou entrarem em vigor por pouco tempo antes de serem revertidas para os valores anteriores, talvez um Objeto de política de grupo (GPO) esteja substituindo as alterações. As configurações de política de grupo do Serviço de Tempo do Windows incluem muitos dos mesmos itens que podem ser configurados por meio do registro ou dos comandos w32tm. Essas configurações podem ser encontradas no seguinte local:
Computer Configuration\Policies\Administrative Templates\System\Windows Time Service
Redefina os valores de registro do Serviço de Tempo do Windows para as configurações padrão
Se nada mais funcionar, este procedimento redefinirá o Serviço de Tempo do Windows para as configurações padrão:
- Abra o console de serviços e interrompa o Serviço de Tempo do Windows (ou execute net stop w32time em um prompt de comando) se ele estiver em execução.
- Abra um prompt de comando elevado e execute w32tm /unregister para remover o Serviço de Tempo do Windows do registro. O serviço não será mais listado no console de serviços.
- Execute w32tm /register para recriar o serviço com as configurações padrão de registro.
- Faça todas as alterações necessárias no registro e inicie o Serviço de Tempo do Windows no console de serviços ou com o comando net start w32time.