一個 DC 時間同步故障的完整排查實錄：原來是客戶端時間快了 26 分鐘

公司要求建立單一帳號登入域環境，筆者架設 DC（網域控制站）後，前七台客戶端順利加入，第八台卻卡在「安全性錯誤」無法加入。排除硬體、系統、DNS 設定、甚至重裝 DNS 服務均無效。靈機一動發現該客戶端時間比 DC 快 26 分鐘（顯示 12:16，實際 11:50）。將客戶端時間校準與 DC 同步後，立即成功加入域。

核心原因

Kerberos 認證機制要求客戶端時間必須與 DC 同步，或慢於 DC 不超過 5 分鐘（預設容差 5 分鐘，最長 10 分鐘）。時間差過大導致驗證失敗，錯誤訊息卻未明確提示時間問題，極易誤導排查方向。

經驗總結

• 排查域加入失敗，除 DNS、網路、帳號權限外，時間同步是關鍵卻常被忽略的環節。
• 錯誤訊息可能不直觀，需具備系統機制知識才能反推根因。
• 多閱讀官方文件、養成檢查時間習慣，能避免大量無效嘗試。

這次經歷讓筆者深刻體會：解決問題不只看表面，細節與知識儲備同樣重要。