Troubleshooting des Windows-Zeitdienstes auf Microsoft Windows-Servern

Der Windows-Zeitdienst ist in Active Directory sehr wichtig. Standardmäßig erfordert die Kerberos-Authentifizierung, dass die Uhren auf allen Computern in der Domäne innerhalb von fünf Minuten synchronisiert werden, wenn Zeitzonenunterschiede und Sommerzeit korrigiert werden. Maschinen, deren Uhren außerhalb dieses Bereichs liegen, können sich nicht authentifizieren und haben keinen Zugriff auf Domänenressourcen.

In einer Active Directory-Domäne ist der Domänencontroller (DC), der die FSMO-Rolle „PDC Emulator“ besitzt, der primäre Zeitserver für die gesamte Domäne. Dies bedeutet nicht, dass jeder Computer in der Domäne sein Uhr direkt mit dem PDC-Emulator synchronisiert. Andere DCs werden mit dem PDC-Emulator synchronisiert, während Mitgliedsserver und Clients sich mit einem beliebigen DC synchronisieren können. In dieser Hierarchie sollte der PDC-Emulator der einzige Computer sein, der für die Synchronisierung mit einer externen Zeitquelle konfiguriert ist, z. B. einem öffentlichen NTP-Server. Alles andere in der Domäne muss so konfiguriert werden, dass es mit AD synchronisiert wird. Jede andere Konfiguration kann zu einem Verlust der Uhrzeitsynchronisierung führen.

Detaillierte Informationen zur Funktionsweise des Windows-Zeitdienstes finden Sie auf dieser TechNet-Website .

Bestimmen Sie die Art des Problems.

Der erste Schritt bei der Behebung eines Fehlers des Windows Zeitdienstes sollte darin bestehen, zu bestimmen, wie viele Computer betroffen sind. Wenn die Uhrzeit nur auf einem Computer falsch ist, unterscheiden sich die Schritte, die zum Beheben des Problems erforderlich sind, von den Schritten, die zum Beheben eines domänenweiten Zeitproblems erforderlich sind.

Wenn nur einige Computer betroffen sind

1. Wenn auf dem betroffenen Computer Windows Vista oder höher ausgeführt wird, führen Sie w32tm /query /source in einer Eingabeaufforderung aus, um die Zeitquelle des betroffenen Computers zu bestimmen. Eine externe Zeitquelle sollte nur angezeigt werden, wenn dieser Befehl auf dem PDC-Emulator ausgeführt wird. Andernfalls sollte der Befehl den Namen eines DC in der Domäne ausgeben.
2. Der Befehl w32tm /query /status zeigt außerdem die Zeitquelle des Computers sowie andere potenziell nützliche Informationen an. Der Switch /verbose bietet noch mehr Informationen. Wie beim ersten Befehl sind diese Switches nur auf Computern verfügbar, auf denen Windows Vista oder höher ausgeführt wird.
3. Wenn die richtige Zeitquelle aufgeführt ist, können Sie w32tm /resync verwenden, um zu versuchen, die Uhr des Computers mit der Zeitquelle neu zu synchronisieren. Durch das Hinzufügen des Switches /rediscover zu diesem Befehl wird der Computer zuerst versuchen, Netzwerkzeitquellen zu ermitteln, und dann eine erneute Synchronisierung versuchen.
4. Zum Ändern der Zeitquelle des Computers können Sie einen von zwei Befehlen verwenden:
   w32tm /config /syncfromflags:DOMHIER /update konfiguriert den Computer für die Verwendung der Domänenhierarchie (AD) als Zeitquelle.
   w32tm /config /syncfromflags:MANUAL /manualpeerlist:<list> /update konfiguriert die Maschine so, dass sie die Zeitserver in <der Liste> als Zeitquelle verwendet.
   HINWEIS: Wenn mehrere Zeitserver in der< Liste> angegeben sind, müssen sie durch Leerzeichen getrennt werden, und die gesamte Liste muss in Anführungszeichen eingeschlossen werden.

Wenn die gesamte Domäne betroffen ist

1. Wenn die Zeit auf allen Computern in der Domäne falsch ist, ist der PDC-Emulator sehr wahrscheinlich die Ursache des Problems. Führen Sie den Befehl netdom query fsmo auf einem DC aus, um zu bestimmen, welcher DC die Rolle „PDC Emulator“ besitzt.
2. Führen Sie w32tm /query /source über eine Eingabeaufforderung auf dem PDC-Emulator aus, um sicherzustellen, dass die Synchronisierung mit einer externen Zeitquelle konfiguriert ist. Der PDC-Emulator sollte nie für die Synchronisierung mit der Domäne konfiguriert werden, da es sich dabei um die Hauptzeitquelle der Domäne handelt.
3. Wenn der PDC-Emulator eine virtuelle Maschine (VM) ist, deaktivieren Sie die Gast-Host-Uhrzeitsynchronisation. Die Vorgehensweise ist abhängig vom Betriebssystem, das auf dem Virtualisierungs-Host ausgeführt wird.
4. Um den PDC-Emulator für die Synchronisierung mit einem oder mehreren externen Zeitservern zu konfigurieren, verwenden Sie den folgenden Befehl:
   w32tm /config /syncfromflags:MANUAL /manualpeerlist:<list> /update
   HINWEIS: Wenn mehrere Zeitserver in der< Liste> angegeben sind, müssen sie durch Leerzeichen getrennt werden, und die gesamte Liste muss in Anführungszeichen eingeschlossen werden.

Registrierungseinstellungen für Windows Zeitdienst

Die w32tm-Befehle, die in den obigen Verfahren angegeben sind, nehmen Änderungen an den Registrierungswerten des Windows-Zeitdiensts vor, die sich alle unter dem folgenden Registrierungsschlüssel befinden:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time

Es ist möglich, diese Werte manuell und nicht mit w32tm-Befehlen selbst festzulegen. Wenn Sie sich dafür entscheiden, können sich die folgenden Seiten als hilfreich erweisen:

• Tools und Einstellungen zum Windows Zeitdienst (umfasst einen Abschnitt zu Registrierungseinstellungen)
• Konfigurieren eines autorisierenden Zeitservers in Windows Server

Gruppenrichtlinie

Wenn Sie mithilfe von w32tm-Befehlen oder über die Registrierung Änderungen am Windows-Zeitdienst vornehmen, diese Änderungen aber nicht alle wirksam werden oder nur eine kurze Zeit in Kraft treten, bevor sie auf die vorherigen Werte zurückgesetzt werden, kann es sein, dass ein Gruppenrichtlinienobjekt (GPO) Ihre Änderungen überschreibt. Die Gruppenrichtlinieneinstellungen für den Windows-Zeitdienst umfassen viele der gleichen Elemente, die über die Registrierungs- oder w32tm-Befehle konfiguriert werden können. Diese Einstellungen befinden sich an den folgenden Speicherorten:

Computer Configuration\Policies\Administrative Templates\System\Windows Time Service

Zurücksetzen der Registrierungswerte des Windows Zeitdienstes auf die Standardeinstellungen

Wenn alles andere fehlschlägt, setzt dieses Verfahren den Windows-Zeitdienst auf seine Standardeinstellungen zurück:

1. Öffnen Sie die Dienstkonsole und stoppen Sie den Windows Zeitdienst (oder führen Sie net stop w32time über eine Eingabeaufforderung aus), wenn er ausgeführt wird.
2. Öffnen Sie eine Eingabeaufforderung mit erhöhten Rechten und führen Sie w32tm /unregister aus, um den Windows Zeitdienst aus der Registrierung zu entfernen. Der Service wird nicht mehr in der Servicekonsole aufgelistet.
3. Führen Sie w32tm /register aus, um den Dienst mit den standardmäßigen Registrierungseinstellungen neu zu erstellen.
4. Nehmen Sie die erforderlichen Registrierungsänderungen vor, und starten Sie dann den Windows Zeitdienst in der Dienstkonsole oder über den Befehl net start w32time.