AD域内的时间同步框架

在AD域的环境下,时间是一个重要的内容,域内的所有的客户端都要依赖同步的时间进行同步的认证,kerbos票据的验证要求两个不同设备之间的时间误差不能超过5分钟,在实际使用过程中,多个域控制器的环境里,容易出现时间不一致的问题,本文先从时间同步的架构说起,一步一步的说明如何实现域内可靠的时间同步架构.

从上图可以看出,AD域内的时间同步架构可以分成三个层次,第一层是主域控PDCe,主要用来和外部时间源同步,在有些内网环境中不能连接外部NTP服务器,强烈建议使用卫星时钟等时间源,确保时间的同步,第二层是辅助域控制器,用于和主域控进行时间同步,并向客户端同步时间信息,第三层是客户端和域内的成员服务器,与域控进行时间同步.精准对时.

需要特别说明一下主域控的角色,在多台域控制器的环境中,域控的角色并不平等,需要指定一个主域控制器,其他域控制器都是辅助域控.

检查哪台是主域控制器的方法是在任意域控上执行命令: netdom query pdc,列出的那台主机的名称就是主域控,如果查询无输出,则需要进一步确认域控的状态,用dcdiag命令,如果你在一个域内发现多个PDC也是一种异常现象,说明域本身就出问题了,需要先排除域的错误再进行下一步.

检查谁是辅助域控的方法有很多种,我比较常用的是在域控中执行systeminfo,检查前几行的输出,如果有一行显示 主域控制器(或primary domain controller),则就是主域控,如果显示 辅助域控制器(Secondary Domain Controller)说明这一台是辅助域控.

主域控制器和辅助域控制器都可以对域内的用户进行身份认证等服务,只不过主域控是要负责全域内的所有对象的信息保持一致(基于这种工作方式,可以说明AD域并不是一个分布式的对等网络系统),主域控也是域控之一,这一点需要搞清楚.

还是要强调,在AD域内只有主域控才能向外部的时间源同步时间,其他的域控是不行的.

为PDCe配置组策略

PDCe自动与外部时间源同步时间的实现方式是组策略,由于PDCe的角色是可以在域控之间切换的(使用ntdsutil或者aduc等方式),而我们常规的组策略是针对静态OU的,要想实现这种动态的组策略,需要引入一个动态功能--wmi筛选器,它就像一个select请句去查询wmi的对象,以获得动态的信息.对于PDCe同步时间来说,查询语句并不复杂:

Select * from Win32_ComputerSystem where DomainRole = 5

配置的组策略的结果如下:

组策略的内容

Computer Configuration > Policies > Administrative Templates > System > Windows Time Service > Time Providers

计算机配置 > 策略 > 管理模板 > 系统 > Window时间服务 > 时间提供程序

编辑 启用 Windows NTP 客户端 设置并设置以下值：

状态： 已启用

编辑 启用 Windows NTP 服务器 设置并设置以下值：

状态： 已启用

退出 配置 PDCE 时间服务器 组策略窗口

右键单击 域控制器 OU，然后选择 链接现有 GPO

选择 配置 PDCE 时间服务器 并单击 确定

注意事项:

1.如果没有时钟源,不能保持时间准确,只想让全域的时间一致,上面的配置完全可以不做.

2.验证wmi筛选器的方法: 找到一个验证的方法就是在powershell中进行查询,命令是

gwmi -query "Select * from Win32_ComputerSystem where DomainRole = 5"

DC或成员服务器上的操作

保持windows time服务是自动类型

1. w32tm /query /source

用于检查时间源,如果客户端的时间源为Local CMOS Clock也不需要担心,因为它们在默认情况下是和域控同步时间的,如果想要指定时间源,可以采用组策略的方法

2. w32tm /monitor

显示时间源的地址

3. w32tm /resync

时间源为Local CMOS Clock时 w32tm /resync是不会和网络上的服务器同步时间的,要注意如果在域内可以不用担心,对于非域的客户端,这时是不能同步时间的.

特别说明:

1. 对于客户端或者成员服务器,最好在同步时间前先更新组策略,运行gpupdate /force
2. 以上成员服务器上的操作可在非AD域的环境中使用,但要注意区分Local CMOS Clock的影响.

参考资料

我参考了以下作者的资料,在此表示感谢:

https://www.cnblogs.com/reachos/p/16177433.html

https://learn.microsoft.com/en-us/answers/questions/1291857/my-pc-is-using-cmos-clock-and-refuses-to-synchroni

https://powershell.one/wmi/root/cimv2/win32_computersystem

https://blog.csdn.net/anhuizhj/article/details/109113515

https://www.ravenswoodtechnology.com/in-sync-proper-active-directory-time-sync-methods/

https://learn.microsoft.com/zh-cn/troubleshoot/windows-server/active-directory/error-message-run-w32tm-resync-no-time-data-available