Problemen met de Windows Time Service op Microsoft Windows Servers oplossen

De Windows Time-service is belangrijk in Active Directory. Standaard vereist Kerberos-authenticatie dat de klokken op alle machines in het domein worden gesynchroniseerd met binnen vijf minuten van elkaar, gecorrigeerd voor tijdzoneverschillen en zomertijd. Computers waarvan de klokken buiten dit bereik vallen, kunnen niet worden geverifieerd en hebben geen toegang tot domeinbronnen.

Binnen een AD-domein is de domeincontroller (DC) die de PDC-emulator FSMO-rol bezit de primaire tijdserver voor het hele domein. Dit betekent echter niet dat elke machine in het domein zijn klok rechtstreeks synchroniseert met de PDC Emulator. Andere DC’s synchroniseren met de PDC-emulator, maar lidservers en clients kunnen synchroniseren met elke willekeurige DC. In deze hiërarchie moet de PDC-emulator de enige computer zijn die is geconfigureerd voor synchronisatie met een externe tijdsbron, zoals een openbare NTP-server. Al het andere in het domein dient te worden geconfigureerd om te synchroniseren met AD. Elke andere configuratie kan leiden tot verlies van kloksynchronisatie.

Zie deze TechNet-site voor gedetailleerde informatie over hoe de Windows Time-service werkt.

Bepaal de omvang van het probleem

De eerste stap bij het oplossen van problemen met een Windows Time-service moet zijn het bepalen van hoeveel computers dit probleem hebben. Als de tijd onjuist is op slechts één computer, zijn de stappen die nodig zijn om het probleem op te lossen anders dan de stappen die nodig zijn om een tijdprobleem voor het hele domein op te lossen.

Als het slechts enkele computers betreft

1. Als de betreffende computer Windows Vista of later heeft, voert u w32tm /query /source uit vanaf een opdrachtprompt om de tijdbron van de betreffende computer te bepalen. Een externe tijdbron zou alleen weergegeven mogen worden als deze opdracht wordt uitgevoerd op de PDC-emulator, anders zou de opdracht de naam van een DC in het domein moeten weergeven.
2. De opdracht w32tm /query /status toont ook de tijdbron van de machine en andere mogelijk nuttige informatie. De schakeloptie /verbose biedt zelfs nog meer informatie. Net als bij de eerste opdracht, zijn deze switches alleen beschikbaar op computers waarop Windows Vista of nieuwer wordt uitgevoerd.
3. Als de juiste tijdbron in de lijst staat, kunt u w32tm /resync gebruiken om de klok van de computer opnieuw te synchroniseren met de tijdbron. Door de schakeloptie /rediscover aan deze opdracht toe te voegen, zal de computer eerst proberen netwerktijdbronnen te ontdekken, en daarna proberen een hersynchronisatie uit te voeren.
4. Als u de tijdbron van de computer wilt wijzigen, kunt u een van de volgende twee opdrachten gebruiken:
   w32tm /config /syncfromflags:DOMHIER /update configureert de computer om de domeinhiërarchie (AD) als tijdbron te gebruiken.
   w32tm /config /syncfromflags:MANUAL /manualpeerlist:<list> /update configureert de machine om de tijdservers in <de lijst> als tijdbron te gebruiken.
   OPMERKING: Als er meerdere tijdservers in <de lijst> zijn opgegeven, moeten deze worden gescheiden door spaties en moet de hele lijst tussen aanhalingstekens worden geplaatst.

Als het hele domein wordt beïnvloed

1. Als de tijd onjuist is op alle computers in het domein, is de PDC-emulator waarschijnlijk de oorzaak van het probleem. Voer de opdracht netdom query fsmo uit op een DC om te bepalen welke DC de rol van PDC-emulator bezit.
2. Voer w32tm /query /source uit vanaf een opdrachtprompt op de PDC-emulator om er zeker van te zijn dat deze is geconfigureerd om te synchroniseren met een externe tijdbron. De PDC-emulator mag nooit worden geconfigureerd om te synchroniseren met het domein, aangezien het de primaire tijdbron van het domein is.
3. Als de PDC-emulator een virtuele machine (VM) is, schakelt u de kloksynchronisatie van de gasthost uit. De procedure hiervoor hangt af van het besturingssysteem dat op de virtualisatiehost wordt uitgevoerd.
4. Als u de PDC-emulator wilt configureren voor synchronisatie met een of meer externe tijdservers, gebruikt u de volgende opdracht:
   w32tm /config /syncfromflags:MANUAL /manualpeerlist:<list> /update
   OPMERKING: Als er meerdere tijdservers in <de lijst> zijn opgegeven, moeten deze worden gescheiden door spaties en moet de hele lijst tussen aanhalingstekens worden geplaatst.

Registerinstellingen van de Windows Time-service

De w32tm-opdrachten die in de bovenstaande procedures worden gespecificeerd, brengen wijzigingen aan in de registerwaarden van de Windows Time-service. Deze bevinden zich allemaal onder de volgende registersleutel:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time

Het is natuurlijk mogelijk om deze waarden handmatig in te stellen in plaats van w32tm-opdrachten te gebruiken. Als u ervoor kiest om dit te doen, kunnen de volgende sites nuttig blijken:

• Hulpprogramma's en instellingen voor de Windows Time-service (inclusief een gedeelte over registerinstellingen; in het Engels)
• Een gemachtigde tijdserver configureren op Windows Server (in het Engels)

Groepspolicy

Als u wijzigingen aanbrengt in de Windows Time-service met w32tm-opdrachten of via het register, maar deze wijzigingen worden helemaal niet of slechts korte tijd van kracht voordat ze worden hersteld naar hun vorige waarden, is er mogelijk een groepsbeleidsobject (GPO) dat uw wijzigingen overschrijft. Groepsbeleidinstellingen voor de Windows Time-service bevatten veel van dezelfde items die kunnen worden geconfigureerd met behulp van de register- of w32TM-opdrachten. Deze instellingen zijn te vinden op de volgende locaties:

Computerconfiguratie\Beleid\Beheersjablonen\Systeem\Windows Time-service

De registerwaarden van de Windows Time-service terugzetten naar de standaardinstellingen

Als al het andere niet lukt, wordt met deze procedure de standaardinstellingen van de Windows Time-service hersteld:

1. Open de Services-console en stop de Windows Time-service (of voer net stop w32time uit vanaf een opdrachtprompt) als deze is ingeschakeld.
2. Open een opdrachtprompt met verhoogde bevoegdheid en voer w32tm /unregister uit om de Windows Time-service uit het register te verwijderen. De service wordt niet meer vermeld in de Services-console.
3. Voer w32tm /register uit om de service opnieuw te maken met de standaard registerinstellingen.
4. Breng de gewenste wijzigingen aan in het register en start de Windows Time-service in de Services-console of met de opdracht net start w32time.