域控加入失败“安全错误”真凶：客户端时间与 DC 超过 5 分钟

故障现场

第 8 台客户机加入域 work.com 时弹出“安全性错误”，前 7 台均正常。DNS 刷新/重装、重装 DNS 服务器均无效。同事无意瞥见客户机时间 12:16，实际 11:50，相差 26 分钟。同步时间后，加入域成功。

核心原理

Kerberos 认证协议要求客户端与 DC 时间偏差 ≤ 5 分钟 (默认策略 MaxClockSkew)。超出则拒绝票据颁发，抛出“安全性错误”。

排查教训

1. 优先检查时间同步，再查 DNS/网络/权限。
2. 域环境必须部署可靠时间源 (PDC 模拟器同步外部 NTP，其余 DC/客户端跟随 PDC)。
3. 客户端 CMOS 电池没电、虚拟机无时间同步服务、手动修改时间均可导致偏移。
4. 命令行快速同步：net time \\DC_IP /set /y 或 w32tm /resync。

最佳实践

• 所有域成员强制启用 Windows Time 服务 (W32Time)，启动类型“自动”。
• PDC 模拟器配置外部 NTP (如 time.windows.com、cn.pool.ntp.org)。
• 监控脚本定期抓取 w32tm /query /status 偏移量，超阈值报警。