AD DS 域控与成员计算机的时间一致性

一、工作组下的计算机与TENKNET时间同步

我们经常会发现计算机的时钟（日期和时间）不正确了。这种情况有时候是人为现象，有时候是计算机的问题。对于工作组下的PC机，时钟的偏差可能影响不大，经常关机而又日久年深的CMOS上的电池没电就是一种时钟产生偏差的原因。计算机在启动时，特别是台式机由于有了外部电源供电对于常年不关机的服务器不会存在此类现象。计算时间有了偏差，只要我们设置了与INTELNET时间服务器定期同步，我们的计算机也会在一定时间内与INTELNET上的时间服务器同步。如下图1.1

（图1.1）

刚才虽然说了PC机的时间虽然产生偏差影响不大，但是总是会有影响的，如果让我说一个例子，那恐怕就是MSN因为时间问题造成无法登录最让我记忆犹新了。

二、域环境下域控与成员计算机的时间一致性

当计算机网络成为域环境下的时候，必须要保证域内的所有计算机在时间上保持一致性。即使有个别计算机的时钟出现了偏差除非W32TIME服务不工作或者异常，域内的计算机会在一个时间段内自动同步时间，保持一致。

   有一些朋友可能会感觉到不理解，为什么要让域中所有的计算机时间保持一致？这是因为通常情况下，ADDS域成员都会启动windows time (w32time)服务，w32time服务通过NTP协议访问目标时钟服务器的123端口进行实践同步。它会自动与域DC进行时间同步，无需人为干涉。而保持域内时间的同步是kerberos认证协议的一个基本要求，如果域成员客户机与DC的时间相差太大的话，它的登录将不能成功。我们设想一下，如果一个用户被设置为在2013年1月9日18：00时因为密码到期而被禁用。如果DC与域成员计算机的时钟存在偏差，一个事现在19:00，另一个事17:00 那么到底以谁的为准呢？这个用户究竟是可不可以登录呢？不光是登录问题，时间的不一致性也会造成例如计划任务等依靠时间才能正确完成的所有任务。同时，时间一致性也是为了防止重放攻击的一种手段。关于重放攻击，请参考百度百科：http://baike.baidu.com/view/1569933.htm

   现在我们来谈第二个问题，在一个域中如果存在多个DC，那么我们究竟以哪台DC作为时间一致性的基准呢？答案就是操作主机中扮演PDC角色的那台主机。

让我们了解一下时间一致性的时钟同步过程吧：

1).客户端与DC做时钟同步；

2).DC与本域PDC做时钟同步；

3).PDC与林根域PDC同步时钟；

4).域或林的PDC与外部时钟源同步时钟；

有了这样一个顺序的过程，正常情况下，域成员服务器会定期与域控制器做时间同步，保持时间的一致性，而林的PDC与外部时钟源做同步，保持世界时间的一致性。

三、域成员计算机与域控制器如何做到时钟同步