ドメインコントローラの時刻変更について

質問

Win SV 2008 のDCですが、時刻がずれているため変更しようと思っています。

15分程ずらすことになるのですが、クライアントPCとの時刻が大きくずれると認証エラーとなり、クライアントがログインできなくなると聞きました。

どのように変更すれば良いのでしょうか。
そもそも認証エラーになるのでしょうか。

よろしくお願いします。

回答No.2

maesen

＞15分程ずらすことになるのですが、クライアントPCとの時刻が大きくずれると認証エラーとなり、クライアントがログインできなくなると聞きました。

Active DirectoryではKerberos認証を使用している関係上、時刻が同期されている必要があります。（再現攻撃を防ぐためのkerberosの仕様です）
ただ、時刻は寸分違わずは無理なので差異の許容時間が決められています。
デフォルト値は5分です。
設定は、グループポリシーにて変更出来ます。
[コンピュータの構成\Windows の設定\セキュリティの設定\アカウント ポリシー\Kerberos ポリシー]
の「コンピュータの時計の同期の最長トレランス」です。
特にポリシーをいじっていなければ、Defualt Domain Controllers Policyにあります。

＞そもそも認証エラーになるのでしょうか。

間違いなく認証エラーなります。
ただし、チケットの有効期限の関係上直ぐに認証エラーが出るとは限りません。

＞どのように変更すれば良いのでしょうか。

一つは、「コンピュータの時計の同期の最長トレランス」を15分以上に設定し、グループポリシーが適用されたのを見計らって時刻を変更し、「コンピュータの時計の同期の最長トレランス」を元の5分に戻す。
もう一つは、1日3分程度の変更を行い、5日に分けて少しずづ合わせていく。

まあ、後者のほうがいいかと思います。

ご存じかもしれませんが、ADではクライアントPCは既定ではドメインコントローラ（DC）に対して時刻を同期します。
DCは複数あるDCのなかのPDCエミュレータ役割を持つDCに対して時刻同期を行います。
（DCが１台ならば必ずそのDCがPDCエミュレータ役割を持っているはずです）
PDCエミュレータ役割を持つDCは、外部リソースと同期を取るのですが、意図的に設定しなければ同期をとりません。
このときイベントログに警告が出ます。

今後のことを考えるならば、PDCエミュレータ役割を持つDCは、NICTなどの外部NTPサーバとの直接または間接的に同期を取るようにしたほうがいいと思います。

また、他の方がサードパーティ製のNTPクライアントの導入についてふれていますが、これには賛同しかねます。
どうしても、導入したいのならば、ADの時刻同期のしくみを十分に理解した上で導入するか考えるべきです。

お礼

ご回答ありがとうございます。

テスト機で検証しましたが認証エラーにはなりませんでした。
PDCエミュレータで外部タイムソースと同期するようにしましたが
特に問題ありませんでした。

お騒がせしました。

回答No.1

anmochi

ぬぅ・・・・。なかなか難しい問題ですな。

　一応Microsoftの公式資料ではDCとクライアントPCの時計が5分以上（文書によっては「数分」）ずれていると認証できなくなるという風に書かれています。試した事はないですが・・・・。
　ところで、DCに参加しているクライアントPCはデフォルト動作でDCに対して時刻同期を行います。なので1分ずらす→クライアントに反映されるのを待つ→1分ずらす→・・・という風に15回1分ずらしていくと問題ないかも知れません。

　また、クライアントPCがWindows 2000 Professional、Windows XP、Windows Server 2003、Windows Vista、Windows Server 2008の場合はローカルログインも行えるので、最悪そちらで入って時刻を直してからDCにログオンするというのでもいけるのではないでしょうか。

　基本的にDCは立てたらすぐNTPなどを用いて常に正確な時刻をさすようにしておく方が良いでしょう。Windows Server 2008はR1、R2ともにまだ細かい検証をしていませんが、少なくともWindows Server 2003の頃はOS標準のNTPクライアント機能が貧弱でずれていくのでサードパーティー製のNTPクライアントを使用する方が良いかも知れません。

お礼

ご回答ありがとうございます。

テスト機で検証しましたが認証エラーにはなりませんでした。
PDCエミュレータで外部タイムソースと同期するようにしましたが
特に問題ありませんでした。

お騒がせしました。