刘景云

在Windows的域环境中，有时会出现客户机无法加入域或者登录域失败的情况，如果排除了別的原因，很可能是客户机的时间和域控的时间差异较大的缘故。这一点很容易被人忽略，认为时间管理似乎并不重要，实际情况并非如此，如果域内时间不同步的话，会造成各种奇怪的问题，例如对于系统日志来说，如果记录的事件时间异常，对于问题的排查就会造成不利的影响。

活动目录时间同步机制

在域环境中是利用名为“W32Time”的服务，来实现主机之间的时间同步的，时间同步对于Kerberos认证协议是极为重要的。时间同步使用的是SNTP简单网络时间协议，林中的根域PDC扮演着基准时间服务器的角色，PDC即模拟主机角色，是AD DS域服务定义的操作主机角色之一，确切地说PDC是域范围内操作主机角色，注意林中的每个域中只能有一个PDC角色。在CMD窗口中执行“Netdom query FSMO”命令。在返回信息中显示五种操作主机所在的域控名称（图1），可以查看到PDC主机名称。

当然，PDC主机的功能有很多，例如可以兼容低版本的域控，PDC所在的域控优先成为主域浏览器，PDC拥有活动目录数据库优先复制权，防止组策略套用出错等。PDC很重要的功能之一是可以充当时间服务器，域中所有主机会和PDC同步时间，拥有PDC角色的域控会成为时间服务器。当前域中的PDC也会和林中根域的PDC自动对时，来保持整个林中的时间一致性，即子域中的PDC会自动和父域中的PDC对时。可以看出，这实际上是一种基于域的层次架构。对于根域中的第一台PDC来说，会和外网的时间服务器进行对时。……