Empfehlung - Konfigurieren Sie den Stamm-PDC mit einer verbindlichen Zeitquelle und vermeiden Sie eine weit verbreitete Zeitverschiebung

Warum sollte man dies in Betracht ziehen?

Ihr Stamm-PDC-Emulator ist nicht für die Verwendung eines NTP-Servers (Network Time Protocol) festgelegt. Viele Windows- und Netzwerkfunktionen verlassen sich auf eine robuste Zeitsynchronisierung im gesamten Netzwerk. Uhrzeitsynchronisierungsfehler können zu verschiedenen Problemen führen, insbesondere zu Anmeldefehlern. Die Kerberos-Authentifizierung und die anspruchsbasierte einmalige Anmeldung können aufgrund von Unterschieden fehlschlagen.

Schauen Sie einem Customer Engineer zu, der das Problem erklärt

Kontext und bewährte Vorgehensweisen

Standardmäßig synchronisieren alle Computer und Geräte in einer Domäne die Systemzeit mithilfe der Domänenhierarchie. Domänenmitglieder synchronisieren die Zeit mit Domänencontrollern, die die Zeit wiederum mit dem Domänencontroller synchronisieren, der die PDC-Emulatorrolle innehat. Der PDC-Emulator der Stammdomäne der Gesamtstruktur befindet sich auf der obersten Ebene der Domänenhierarchie, und somit ist es nicht möglich, diesen Domänencontroller für die Synchronisierung der Zeit mit der Domänenhierarchie zu konfigurieren. Der Windows-Zeitdienst warnt diesbezüglich, indem in das Windows-Ereignisprotokoll die Ereignis-ID 12 von der Ereignisquelle W32Time geschrieben wird.

In manchen Fällen erhält der PDC-Emulator die Zeit von der BIOS-Uhr. Dieser Ansatz hat jedoch auch Nachteile. Wenn Datum und Uhrzeit im BIOS des PDC-Emulators nicht genau eingestellt sind, sind die Einstellungen von Datum und Uhrzeit in der ganzen Domäne falsch. Wenn der PDC-Emulator offline ist, können die Domänenmitglieder ihre Systemzeit nicht mehr synchronisieren. Konfigurieren Sie den PDC-Emulator stattdessen so, dass er seine Zeit direkt mit einer externen Zeitquelle synchronisiert. Alternativ können Sie ein anderes Gerät in Ihrer Domäne dafür konfigurieren, die Zeit mit einem externen Zeitdienst zu synchronisieren, und dann den PDC-Emulator dafür konfigurieren, Ihren internen Zeitserver als verbindliche Zeitquelle zu verwenden.

Zu den autoritativen externen Zeitquellen zählen internetbasierte Dienste, die in der Regel von staatlichen, wissenschaftlichen oder Bildungseinrichtungen bereitgestellt werden und eine Systemzeitsynchronisation über das Network Time Protocol (NTP) ermöglichen. So betreibt beispielsweise das NIST Zeitserver an verschiedenen Standorten in den Vereinigten Staaten.

Empfohlene Maßnahmen

Sie können den Domänencontroller, der die PDCE-Rolle innehat, so konfigurieren, dass er einen NTP-Server zur Zeitsynchronisierung verwendet. Es gibt verschiedene Ansätze:

Konfigurieren der Zeitsynchronisierung über die Befehlszeile:

Öffnen Sie auf dem PDC-Emulator die administrative Eingabeaufforderung und verwenden Sie die folgenden Befehle:

w32tm.exe /config /syncfromflags:manual /manualpeerlist:131.107.13.100,0x8 /reliable:yes /update

w32tm.exe /config /update

Hinweis

Die IP-Adresse in dem Beispiel ist ein Zeitserver des National Institute of Standards and Technology (NIST) bei Microsoft in Redmond, Washington. Ersetzen Sie diese IP-Adresse durch einen Zeitdienst Ihrer Wahl.

So konfigurieren Sie die Zeitsynchronisation über die Registrierungsbearbeitung auf dem PDC-Emulator:

1. Öffnen Sie den Registrierungseditor (regedit.exe).

2. Navigieren Sie zu folgendem Registrierungsschlüssel: HKLM\System\CurrentControlSet\Services\W32Time\Parameters

3. Um eine bestimmte NTP-Quelle zu verwenden, ändern Sie den Wert Typ in NTP.

4. Ändern Sie den Wert NtpServer so, dass er den NTP-Server enthält, mit dem die Zeit synchronisiert wird, gefolgt von „,0x8“, zum Beispiel 131.107.13.100,0x8. Mehrere NTP-Server müssen durch ein Leerzeichen getrennt sein, zum Beispiel 131.107.13.100,0x8 24.56.178.140,0x8

5. Öffnen Sie eine administrative Eingabeaufforderung und führen Sie den folgenden Befehl aus: w32tm /config /update.

So konfigurieren Sie die Zeitsynchronisation über die Gruppenrichtlinie:

1. Öffnen Sie die Gruppenrichtlinien-Verwaltungskonsole

2. Erstellen Sie ein neues GPO

3. Öffnen Sie das GPO und navigieren Sie zu Computereinstellungen -> Administrative Vorlagen -> System -> Windows-Zeitdienst -> Zeitanbieter

4. Doppelklicken Sie auf die Schaltfläche Windows NTP-Client konfigurieren.

5. Den Zustand auf Aktiviert festlegen

6. Konfigurieren Sie den Typ auf NTP.

7. Konfigurieren Sie den NTPServer so, dass er auf eine IP-Adresse eines Zeitservers veweist, gefolgt von ,0x8. Beispiel: 131.107.13.100,0x8

8. Schließen Sie den Gruppenrichtlinien-Editor.

9. Entfernen Sie im Bereich Sicherheitsfilterung der Gruppenrichtlinien-Verwaltungskonsole Authentifizierte Benutzer für die neu erstellte Richtlinie und fügen Sie den Computer mit der Rolle PDC-Emulator hinzu.

10. Verknüpfen Sie das GPO mit der Organisationseinheit Domänencontroller

Hinweis

Die Gruppenrichtlinieneinstellungen für die Windows-Zeit werden in den Registrierungspfad HKLM\Software\Policies\Microsoft\W32time geschrieben.

Problembehandlung

Um die aktuelle Konfiguration des Windows-Time-Dienstes anzuzeigen, verwenden Sie den folgenden Befehl in einer Eingabeaufforderung mit erhöhten Rechten:

w32tm /query /configuration

Um die aktuelle Quelle für die Zeitsynchronisation zu sehen, verwenden Sie den folgenden Befehl:

w32tm /query /source

Weitere Informationen

Weitere Informationen zum NIST Internet Time Service finden Sie unter NIST Internet Time Service (ITS).

Weitere Informationen zum Windows-Zeitdienst finden Sie unter Funktionsweise des Windows-Zeitdienstes.