Domaindeki kullanıcılar sorunsuz oturum açarken bazılarında Kerberos hataları görülüyorsa ilk kontrol edilmesi gereken noktalardan biri saat farkı oluyor. Özellikle sanal makineler farklı zaman kaynaklarından saat alıyorsa sorun dışarıdan bakıldığında oldukça karmaşık görünebiliyor.
Windows domain ortamında zaman eşitleme konusu küçük bir ayrıntı gibi görünse de kimlik doğrulama ve olay kayıtlarının doğru yorumlanması açısından önemli.
Domain bilgisayarları saati nereden alır?
Normalde domain üyesi sistemler zamanı Active Directory hiyerarşisi üzerinden alır. Forest root domain’deki PDC Emulator rolünü taşıyan Domain Controller ise uygun şekilde yapılandırılmış güvenilir bir üst zaman kaynağıyla eşitlenir.
Dolayısıyla her sunucuyu ayrı bir internet NTP adresine yönlendirmek çoğu ortamda doğru başlangıç yaklaşımı değildir. Önce mevcut hiyerarşiyi kontrol etmek gerekiyor.
w32tm ile üç hızlı kontrol
Sorun yaşayan Windows sunucuda komut istemini yönetici yetkisiyle açıp şu komutları çalıştırın:
w32tm /query /source
w32tm /query /status
w32tm /query /configuration/source mevcut zaman kaynağını, /status son eşitleme ve saat kaymasıyla ilgili bilgileri, /configuration ise servis yapılandırmasını gösterir. Burada özellikle Type değerinin domain hiyerarşisiyle uyumlu olup olmadığına bakın.
Bir makinede Local CMOS Clock görmeniz tek başına kesin arıza kanıtı değildir; ancak beklediğiniz kurumsal zaman kaynağı yerine görünüyorsa incelenmesi gerekir.
PDC Emulator hangi sunucu?
Etki alanında FSMO rollerini görmek için, RSAT araçlarının bulunduğu yetkili bir makinede:
netdom query fsmoPDC Emulator rolünün nerede olduğunu belirleyin. Ardından diğer DC’lerin ve üye sunucuların zaman kaynaklarını karşılaştırın.
Birden fazla domain bulunan forest ortamlarında hiyerarşiyi daha dikkatli değerlendirmek gerekir; her DC’nin doğrudan harici NTP kullanması beklenmez.
Gerçek farkı ölçmek
Belirli bir Domain Controller ile saat farkını ölçmek için:
w32tm /stripchart /computer:DC01 /dataonly /samples:5DC01 yerine erişilebilir DC adını yazın. Komut örnek ölçümler üretir; sistem saatini değiştirmez. Ölçümlerde ağ gecikmesinin de etkisi olabileceği için tek bir satırla karar vermeyin.
Sanallaştırma tarafındaki sürpriz
Domain Controller sanal makineyse, guest operating system’in saat senkronizasyonu ayarları ile Windows Time Service’in birbirini etkileyip etkilemediğine bakmak gerekebilir. Özellikle snapshot geri dönüşleri veya host saatindeki sorunlar beklenmedik farklar doğurabilir.
Ancak “VMware Tools saat senkronizasyonunu kapatınca her şey düzelir” gibi genel bir reçete yok. Önce mevcut yapılandırmayı, host zamanını ve domain hiyerarşisini birlikte incelemek daha güvenli.
Son adım: değiştirmeden önce kaydedin
Sorunun gerçekten yanlış zaman kaynağı olduğunu doğrulamadan w32tm /config veya w32tm /resync komutlarını art arda uygulamayın. Özellikle PDC üzerinde yapılacak değişiklikler tüm domain’i etkileyebilir.
Önce zaman kaynaklarını ve saat farkını kaydedip sapmanın hangi katmanda başladığını belirlemek daha güvenli. Böylece problemi çözerken yeni bir zaman hiyerarşisi sorunu oluşturmamış oluruz.
Kaynak notu: Microsoft Learn, Windows Time Service Tools and Settings ve PDC Emulator zaman eşitleme belgeleri.
