So konfigurieren Sie eine NTP-Zeitquelle für Ihre Active Directory-Domäne

Die Zeitsynchronisierung in einer Active Directory-Umgebung beschränkt sich nicht darauf, die richtigen NTP-Server einzurichten und auf das Beste zu hoffen. Wenn die Zeit nicht korrekt synchronisiert ist, können unerwartete Probleme auftreten – Kerberos-Authentifizierungsfehler, Zertifikatsprobleme oder kryptische Fehlermeldungen, die erst dann Sinn ergeben, wenn man merkt, dass die Uhren völlig falsch gehen. Es ist ziemlich ärgerlich, dass Windows dies unnötig verkompliziert, insbesondere angesichts der vielen verschiedenen Konfigurationsmöglichkeiten des Zeitdienstes und der Tatsache, dass Rollen wie der PDC-Emulator verschoben werden können. Dieser Leitfaden soll daher sicherstellen, dass der primäre Domänencontroller (PDC) mit einem zuverlässigen, externen NTP-Anbieter synchronisiert wird – denn natürlich muss Windows es unnötig kompliziert machen. Danach sollten die anderen Server und Clients problemlos folgen. Das Ergebnis? Weniger zeitbezogene Probleme und ein reibungsloserer Domänenbetrieb.

So beheben Sie Probleme mit der Zeitsynchronisierung in einer Active Directory-Domäne

Methode 1: Stellen Sie sicher, dass der PDC-Emulator mit einer externen NTP-Quelle synchronisiert ist.

Dies ist unerlässlich, da der PDC als zentrale Zeitinstanz in der Domäne fungiert – ist er nicht korrekt, sind alle anderen Systeme betroffen. Synchronisiert sich Ihr Domänencontroller (DC) nicht mit einem NTP-Server, entstehen Zeitfehler, die zu Problemen führen können.

• Ermitteln Sie zunächst den aktuellen PDC-Emulator, indem Sie folgenden Befehl in PowerShell ausführen:
• Get-ADDomain | Select-Object PDCEmulator
• Das hilft dir dabei, herauszufinden, mit welchem ​​Server du herumexperimentieren musst.
• Überprüfen Sie auf dem PDC, welche Zeitquelle er aktuell verwendet:
• w32tm /query /source
• Wenn dort „Lokale CMOS-Uhr“ oder etwas anderes als „externer NTP-Timer“ steht, ist das Ihr Hinweis, das Problem zu beheben.
• Beenden Sie den Windows-Zeitdienst:net stop w32time
• Konfigurieren Sie es so, dass ein zuverlässiger externer Server, beispielsweise vom Projekt pool.ntp.org, verwendet wird. Für Großbritannien sind das typischerweise 0.uk.pool.ntp.org, 1.uk.pool.ntp.org usw.
• Laufen:
• w32tm /config /manualpeerlist:"0.uk.pool.ntp.org 1.uk.pool.ntp.org 2.uk.pool.ntp.org" /syncfromflags:manual /reliable:YES /update
• Starten Sie anschließend den Zeitdienst neu:
• net start w32time
• Erzwinge eine Neusynchronisierung:
• w32tm /resync
• Überprüfen Sie abschließend die Quelle mit w32tm /query /source. Dort sollten nun die externen NTP-Server angezeigt werden.

Dies sollte das Hauptproblem beheben, dass der PDC als instabile oder nur lokale Zeitquelle fungiert, insbesondere wenn es sich um eine VM handelt oder die Systemuhr abdriftet.

Methode 2: NTP-Konfiguration über Gruppenrichtlinie festlegen (damit sie auch bei einem Rollenwechsel erhalten bleibt)

Wenn Sie nicht ständig Befehle eingeben möchten oder Bedenken wegen Rollenwechseln haben, ist die Verwendung von Gruppenrichtlinienobjekten (GPOs) ratsam. Auf diese Weise wird der Server, der die PDC-Rolle übernimmt, automatisch so konfiguriert, dass er mit den entsprechenden externen Quellen synchronisiert wird.

• Öffnen Sie die Gruppenrichtlinienverwaltungskonsole ( GPMC.msc ).
• Erstellen Sie einen neuen WMI-Filter mit:
• Select * from Win32_ComputerSystem where DomainRole = 5
• Verknüpfen Sie diesen Filter mit einem neuen Gruppenrichtlinienobjekt (GPO) und gehen Sie zu Computerkonfiguration -> Richtlinien -> Administrative Vorlagen -> System -> Windows-Zeitdienst -> Zeitanbieter
• Konfigurieren Sie diese Gruppenrichtlinienobjekte (GPOs):
  • Windows-NTP-Client konfigurieren aktivieren: auf Aktiviert setzen
  • Windows-NTP-Client aktivieren: Aktiviert
  • Windows-NTP-Server aktivieren: Aktiviert (falls für die Synchronisierung erforderlich)
• Legen Sie bestimmte Optionen in Windows NTP-Client konfigurieren fest:
  • NtpServer:0.uk.pool.ntp.org, 0x8 1.uk.pool.ntp.org, 0x8 2.uk.pool.ntp.org, 0x8 3.uk.pool.ntp.org, 0x8
  • Typ: NTP
  • Andere Parameter können Sie auf den Standardeinstellungen belassen, es sei denn, Sie nehmen Änderungen an erweiterten Konfigurationen vor.
• Verknüpfen Sie dieses Gruppenrichtlinienobjekt mit der Organisationseinheit Domänencontroller, damit es für den Domänencontroller gilt, der die PDC-Rolle innehat.

Methode 3: Stellen Sie sicher, dass der Windows-Zeitdienst auf den Clientcomputern korrekt konfiguriert ist.

Die meisten in eine Domäne eingebundenen PCs und Server folgen einfach der Domänenhierarchie, aber manchmal treten Fehler in den Einstellungen auf oder sie werden falsch konfiguriert. Normalerweise werden sie automatisch vom Domänencontroller synchronisiert (im NT5DS-Modus), aber falls nicht, können Sie die Synchronisierung erzwingen.

• Führen Sie diese Befehle in einem PowerShell- oder CMD-Fenster mit Administratorrechten aus, um den Zeitdienst auf die Standarddomänenhierarchie zurückzusetzen:
• net stop w32time w32tm /unregister w32tm /register net start w32time w32tm /resync
• Prüfen Sie, welche Quelle aktuell verwendet wird:
• w32tm /query /source
• Wenn alles ordnungsgemäß funktioniert, sollte hier LogonServer oder Ihre Domänenhierarchiequelle angezeigt werden, nicht der lokale CMOS-Takt.

Das war’s im Wesentlichen. In den meisten Fällen lässt sich das Problem durch die Verwendung eines zuverlässigen externen NTP-Servers für den PDC deutlich reduzieren. Stellen Sie sicher, dass die Firewall-Ports (UDP 123) Ihrer NTP-Server geöffnet sind und behalten Sie die Ereignisprotokolle im Auge, falls weiterhin Probleme auftreten.

Zusammenfassung

• Finden Sie Ihren PDC-Emulator mit PowerShell.
• Konfigurieren Sie den PDC so, dass er sich mit einem zuverlässigen externen NTP-Server, z. B.von pool.ntp.org, synchronisiert.
• Verwenden Sie Gruppenrichtlinien, um diese Konfiguration auf allen Domänencontrollern einheitlich zu halten, insbesondere wenn die Rollen häufig wechseln.
• Stellen Sie sicher, dass die Client-Rechner der Domänenhierarchie folgen und ihre lokalen Uhren nicht manipulieren.

Zusammenfassung

Die korrekte Zeiteinstellung in Active Directory mag zunächst mühsam erscheinen, doch wenn sie gelingt, läuft alles reibungsloser. Schluss mit kryptischen Protokollfehlern, Authentifizierungsproblemen und Zertifikatsschwierigkeiten. Nur noch faktenbasierte, synchronisierte Zeit, die Ihre Domäne am Laufen hält. Bei mir hat es in verschiedenen Konfigurationen funktioniert – hoffentlich hilft es auch anderen, sich die Arbeit zu erleichtern.