域內電腦時間相差幾分鐘就登錄失敗，Kerberos 時間同步應該如何排查？
Kerberos 對時間偏差敏感。應確認 PDC Emulator 時間源、域層級同步、虛擬化時間、NTP 端口與防火牆回程。
結論與適用範圍本文適用於企業環境中的「域內電腦時間相差幾分鐘就登錄失敗，Kerberos 時間同步應該如何排查？」場景。建議先確認影響範圍及重現條件，再按低風險到高風險的次序檢查。不要在沒有備份、回退點或測試對象的情況下直接批量修改。
1. 結論與適用範圍
建議準備：客戶端和伺服器版本、是否加入網域、DNS 與閘道設定、涉及的網絡區域、完整錯誤、事件日誌時間點，以及近期變更記錄。示例網域統一使用 corp.example，不包含任何客戶真實網域、IP、帳戶或裝置序號。
該問題歸類為「AD 網域與群組原則」。如已影響辦公、生產或資料安全，可先遠端收集日誌和設定；涉及批量權限、交換器鏈路、停機切換或復原演練時，應安排受控實施窗口。
2. 常見現象與環境確認
- 保留完整報錯、事件日誌時間點和失敗操作，不要只憑用户口述判斷。
- 先記錄影響範圍、首次發生時間、是否持續復現，以及同網段和其他網段是否一致。
- 域成員和準備加域的電腦應優先使用內部 DNS；公網 DNS 不能返回 AD 所需的 SRV 記錄。
3. 按順序排查
- 確認林根域 PDC Emulator 的外部或內部權威時間源，其他域控和成員機應沿域層級同步。
- 確認客户端、域控制器和虛擬化宿主機的時區與時間源一致，避免 Kerberos 因時間偏差失敗。
- 虛擬域控需要檢查宿主機時間同步與來賓系統域時間是否互相沖突，尤其是在快照恢復或宿主機漂移後。
- 驗證 UDP 123 的出站與回程、名稱解析和防火牆會話，不能只看時間服務器域名能否解析。
- 域成員和準備加域的電腦應優先使用內部 DNS；公網 DNS 不能返回 AD 所需的 SRV 記錄。
- 一次只變更一個條件，並在變更前導出配置或記錄當前狀態。
唯讀檢查示例
w32tm /query /status
w32tm /query /source
w32tm /monitor指令中的伺服器名稱、網域和路徑必須替換為本企業已確認的值。不要複製未知環境中的真實 IP、網域或帳戶。
4. 安全處理與批量實施
優先使用唯讀查詢、匯出設定及單台驗證。確認根因後，再選擇修復對象、維護窗口及回退方式。多台電腦處理時，先建立測試 OU 和少量試點設備，導出策略結果，確認無副作用後再分批推廣。
- 驗證 UDP 123 的出站與回程、名稱解析和防火牆會話，不能只看時間服務器域名能否解析。
- 域成員和準備加域的電腦應優先使用內部 DNS；公網 DNS 不能返回 AD 所需的 SRV 記錄。
- 一次只變更一個條件，並在變更前導出配置或記錄當前狀態。
遠端還是現場處理？單台或少量終端、設定與日誌可遠端取得時，通常可先遠端判斷；涉及交換器鏈路、機房佈線、多網段批量變更或停機切換時，建議安排現場窗口。杭州及長三角可按項目情況上門，其他地區可遠端協助。
5. 驗證、回退與常見誤區
修復後不要只看「暫時可用」。應從使用者操作、日誌、重新啟動／重新登入、不同網絡位置及下一次策略／備份週期再次驗證。
驗證與回退檢查
- 一次只變更一個條件，並在變更前導出配置或記錄當前狀態。
- 確認客户端、域控制器和虛擬化宿主機的時區與時間源一致，避免 Kerberos 因時間偏差失敗。
- 確認域控制器間 AD 與 SYSVOL 複製正常，客户端訪問的域控上存在相同策略版本。
常見錯誤做法
- 直接改用公網 DNS 或在 hosts 中長期硬編碼域控。
- 未備份本地管理員憑據就把電腦退出域。
- 未經小範圍驗證就把新 GPO 鏈接到整個域。