Windows 2003 域環境時間同步解決方案

問題背景

Windows 2003 AD 域中，理論上客戶端加入域後會自動與網域控制器 (DC) 同步時間。實測發現客戶端時間變更後無法自動同步，需在 DC 進行額外配置。

解決步驟

1. 設定 DC 為可靠時間來源 (修改登錄檔)

• 執行 regedit，定位 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config。
• 修改 AnnounceFlags 為 5 (十進位)，表示 DC 使用自身時鐘作為時間來源並宣告為可靠時間伺服器。

2. 群組原則配置 Windows Time 服務

• 開啟「預設域控制器原則」編輯器。
• 路徑：電腦設定 → 管理範本 → 系統 → Windows Time 服務 → 時間提供者 → 設定 Windows NTP 用戶端。
• 啟用並設定：
  NtpServer = DC 完整網域名稱 (如 dc01.domain.com,0x1)
  Type = NT5DS (網域階層模式)
  CrossSiteSyncFlags = 2
ResolvePeerBackoffMinutes = 15
ResolvePeerBackoffMaxTimes = 7
SpecialPollInterval = 3600 (秒)

3. 驗證同步

1. 客戶端手動修改時間。
2. 命令列執行：
   net stop w32time
net start w32time
3. 時間應自動校正回 DC 時間。
4. 查看系統事件日誌，來源 W32Time，事件 ID 35/37 顯示透過 NTP 123 埠與 DC 同步成功。

關鍵點

DC 必須宣告為可靠時間來源 (AnnounceFlags=5) 並透過群組原則下發 NTP 設定，客戶端才會主動向 DC 同步。單靠預設 NT5DS 模式在部分環境下不會主動發起同步。