Clients, Server und Domänencontroller im selben Takt Zeitsynchronisierung in Active Directory richtig steuern

In Active Directory spielt die Zeitsynchronisierung eine wichtige Rolle. Nur wenn Clients, Server und Domänencontroller zeitlich synchron laufen, kann ein Active Directory fehlerfrei betrieben werden. Wir zeigen, worauf es bei der Einrichtung einer Zeitsynchronisation ankommt.

Die Zeitsynchronisation in AD-Domänen ist zwar kein Hexenwerk, doch mit ein wenig nützlichem Know-how klappt die Administration auch hier besser. In Active Directory ist die Zeitsynchronisierung automatisch vorgegeben. Es ist allerdings notwendig, dass sich Administratoren mit der Thematik der Zeitsynchronisierung auseinandersetzen. Denn wenn die Zeiten der Computer und Domänencontroller mehr als fünf Minuten voneinander abweichen, verlieren Kerberos-Tickets, eine Grundlage bei Berechtigungen und Anmeldungen, teilweise ihre Gültigkeit. Dies resultiert in Fehlern beim Zugriff auf Ressourcen und bei der Anmeldung von Computern und führt zu weiteren Problemen. Die Vorgehensweise in diesem Beitrag gilt für Windows Server 2025 genauso, wie für die Vorgänger, bis hin zu Windows Server 2016.

Zwar lassen sich die Einstellungen über Gruppenrichtlinien entschärfen, sinnvoll ist das aber nicht. Standardmäßig toleriert Kerberos in Active Directory eine Zeitdifferenz von fünf Minuten. Diese Einstellungen sollten Admins nicht ändern, haben aber die Möglichkeit dazu. Admins müssen für diese Änderung die Gruppenrichtlinie der entsprechenden Computer anpassen. Dazu wird zu "Computerkonfiguration / Windows-Einstellungen / Sicherheitseinstellungen / Kontorichtlinien / Kerberos-Richtlinie" navigiert. Hier sind die verschiedenen Einstellungen für die Tickets zu finden.

Bildergalerie

Bildergalerie mit 6 Bildern

Für die Zeitsynchronisierung in Active Directory ist der Windows-Zeitdienst (W32Time) zuständig. Ob der Dienst gestartet ist, lässt sich entweder in der Verwaltung der Dienste (services.msc), im Windows Admin Center, oder mit "sc query w32time" über die Befehlszeile überprüfen. In der PowerShell kann dazu der Befehl "get-service w32time |ft" verwendet werden.

So funktioniert die Zeitsynchronisierung im Netzwerk

Melden sich Clients in der Domäne an, wird die Zeit mit dem Domänencontroller synchronisiert, über den die Anmeldung erfolgt ist. Die einzelnen Domänencontroller synchronisieren ihre Zeit wiederum mit dem PDC-Master der entsprechenden Domäne oder einem Domänencontroller der übergeordneten Domäne. Die Rolle des PDC-Emulators gibt es in jeder Active Directory-Domäne ein Mal. Der erste installierte Domänencontroller einer Active Directory-Domäne bekommt diese Rolle automatisch zugewiesen. Es ist aber möglich die Rolle zu verschieben. Wie das geht, haben wir im Beitrag „10 Tipps für FSMO-Rollen und den globalen Katalog in Active Directory“ gezeigt.

Der PDC-Master in Active Directory ist die Basis für die Zeitsynchronisierung

Wollen Admins überprüfen, welcher Domänencontroller die Rolle des PDC-Emulators in ihrer Domäne verwaltet, wird das Snap-In "Active Directory-Benutzer und -Computer" im Server-Manager oder über dsa.msc geöffnet. Durch einen Klick mit der rechten Maustaste im Snap-In auf die Domäne steht im Kontextmenü der Eintrag Betriebsmaster zur Verfügung. Es öffnet sich ein neues Fenster.

Auf der Registerkarte PDC ist der PDC-Master zu finden. In der Befehlszeile lässt sich der Server auch mit dem folgenden Befehl auslesen:

Er ist für die Anwendung und Verwaltung der Gruppenrichtlinien zuständig und darüber hinaus für Kennwortänderungen bei Benutzern verantwortlich. Er steuert die externen Vertrauensstellungen einer Domäne und stellt den Zeitserver der Domäne zur Verfügung.

Mehr dazu ist über den ganz unten verlinkten Beitrag zu finden, der eine Liste aller zum Thema Active Directory erschienenen Beiträge enthält..

Die PDC-Master von untergeordneten Domänen in Active Directory synchronisieren die Uhrzeit wiederum mit einem Domänencontroller der übergeordneten Domäne. Hierarchisch geht es vom ersten PDC-Emulator der Gesamtstruktur nach unten zu den anderen PDC-Emulatoren, den Domänencontrollern und schließlich zu den einzelnen Mitgliedsservern und Arbeitsstationen.

Das bedeutet, dass der PDC-Master der ersten Domäne in der Gesamtstruktur der wichtigste Zeitserver in der Active-Directory-Gesamtstruktur ist. Stimmt hier die Uhrzeit nicht, wird die falsche Uhrzeit an alle anderen Domänencontroller repliziert und damit auch auf alle Clients im Netzwerk. Es ist daher sinnvoll, diesen Server entweder mit einer Funkuhr zu versorgen, oder über das Internet mit einem Zeitserver zu synchronisieren.

Zeit abfragen und manuell synchronisieren

Windows verwendet für die Synchronisation der Uhren das NTP-Protokoll (Network Time Protocol). Dieses Protokoll kommuniziert über den UDP-Port 123. Das heißt, dieser Port muss zwischen allen Clientcomputern und dem entsprechenden Domänencontroller geöffnet sein. Windows synchronisiert die Zeit beim Starten und in regelmäßigen Abständen automatisch mit dem Windows Time Service (WTS oder auch W32Time).

Admins können auf einer Arbeitsstation oder einem Server einen manuellen Synchronisierungsvorgang auslösen, indem sie in einer Eingabeaufforderung den Befehl w32tm /resync ausführen. Der PC oder Server verbindet sich dann mit seinem Zeitserver und synchronisiert die Uhrzeit.

Außer der Option resync stehen für den W32tm-Befehl noch weitere Optionen zur Verfügung. Diese sind zu sehen, wenn in der Eingabeaufforderung w32tm eingegeben wird. Mit dem Befehl

lässt sich zum Beispiel die aktuelle Konfiguration des Zeitdienstes angezeigt werden. Mit diesem Tool werden außerdem alle Zeiteinstellungen gesteuert.

Vor allem auf Domänencontrollern muss darauf geachtet werden, dass in der Ereignisanzeige unter "System" keine Fehlermeldungen der Quelle "W32Time" stehen. Bei regelmäßigen Fehlern deutet das darauf hin, dass der Domänencontroller Probleme hat, die Zeit mit seinem PDC-Emulator zu synchronisieren.

In der Eingabeaufforderung kann mit "time" die aktuelle Uhrzeit des Computers angezeigt und manuell eingegeben werden. Der Befehl "net time \\<Computer>" zeigt die Uhrzeit auf einem Computer im Netzwerk an, zum Beispiel einem Domänencontroller. Der Vorteil des Befehls ist, dass dieser nicht den Zeitdienst nutzt, sondern einen Remote Procedure Call. Das hilft bei der Fehlersuche, wenn der Zeitdienst in Windows nicht richtig funktioniert.

Soll die Uhrzeit des aktuellen Computers mit der Uhrzeit eines Servers im Netzwerk, zum Beispiel mit einem Domänencontroller synchronisiert werden, wird der Befehl "net time \\<Domänencontroller> /set" verwendet. Die Synchronisierung muss noch bestätigt werden. Mit der Option "/yes" wird die Uhrzeit ohne Rücksprache synchronisiert.

Um die Uhrzeit des PDC-Masters der Domäne anzuzeigen wird der folgende Befehl verwendet:

Mit den zusätzlichen Optionen "/set /yes" wird die Uhrzeit auch gleich synchronisiert.

Zeitsynchronisierung mit w32tm.exe

Einer der wichtigsten Befehle für die Synchronisierung der Uhrzeit in Active Directory ist das Befehlszeilentool "w32tm.exe". Wer das Tool aufruft, sieht die große Anzahl an Optionen. Mit dem Tool kann die Zeitsynchronisierung vorgenommen und gleichzeitig auch überwacht werden. Um den Zeitunterschied von verschiedenen Computern mit dem aktuellen Computer zu messen, wird zum Beispiel folgender Befehl verwendet:

Mit einer kommagetrennten Liste können mehrere Server abgefragt werden. Hieraus wird auch ersichtlich, ob es Verbindungsprobleme zu Computern gibt.

Generell reicht es aus, wenn die Uhrzeit des obersten PDC-Masters in der Gesamtstruktur mit einem Zeitserver im Internet synchronisiert wird. Dazu werden häufig die Zeitserver der Technischen Bundesanstalt in Braunschweig verwendet. Hier stehen mehrere Server zur Verfügung, mit denen sich Domänencontroller über das Internet synchronisieren können:

Um die Zeitserver auf dem PDC-Master der obersten Domäne in Active Directory einzubinden, wird der folgende Befehl genutzt:

Der Befehl muss nur einmal eingegeben werden. Die entsprechenden Werte speichert Windows in der Registry. Der Befehl muss nur auf dem PDC-Master der Root-Domäne eingetragen werden. Alle anderen Server synchronisieren sich ohnehin mit diesem.

Sinnvollerweise sollte danach der Systemdienst neu gestartet werden, zum Beispiel in der PowerShell:

Danach kann eine erste, manuelle Synchronisierung durchgeführt werden:

Der Status kann mit dem folgenden Befehl abgefragt werden:

In der Ereignisanzeige des Servers, und auch der anderen Computer kann im Systemprotokoll überprüft werden, ob die Synchronisierung funktioniert oder Fehler gemeldet werden. Die Konfiguration muss nur einmal durchgeführt werden. Admins können mit dem Befehl

die Synchronisierung nachträglich aktivieren, wenn sie nicht funktioniert oder ausgeschaltet ist. Anschließend muss auf dem Computer aber der Zeitdienst neu gestartet werden. Das geht zum Beispiel mit

oder in der PowerShell mit

Funkuhr versus Internetzeit – Zeitsynchronisierung konfigurieren

Der einfachste Weg zur Zeitsynchronisierung läuft über die Synchronisierung mit dem Internet. Das Problem bei dieser Konfiguration ist, dass der Server beim Ausfall der Internetleitung oder der entsprechenden Zeitserver seine Uhrzeit nicht mehr synchronisieren kann. In diesem Fall bleibt aber die Möglichkeit, die Synchronisierung mit einer lokalen Uhr zu konfigurieren.

Haben Sie am PDC-Emulator direkt eine Funkuhr angeschlossen, die dessen BIOS-Zeit automatisch steuert, müssen Sie keine Server mit W32tm hinterlegen. In diesem Fall sollten Sie die Registry auf dem PDC-Emulator so anpassen, dass der Server konfiguriert ist, seine eigene BIOS-Zeit zu verwenden, keine externen Zeitserver.

Ansonsten erhalten Sie in der Ereignisanzeige des Servers verschiedene Fehler angezeigt, die darauf hinweisen, dass der Server seine Zeit nicht synchronisieren darf. Durch die folgende Konfiguration legen Sie in der Registry fest, dass der Domänencontroller ein zuverlässiger Zeitserver für alle Computer im Netzwerk ist, da er sich selbst mit einer Funkuhr synchronisiert. Gehen Sie dazu folgendermaßen vor:

• Öffnen Sie den Registrierungs-Editor und navigieren Sie zu HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ W32Time \ Config.

• Suchen Sie den Wert AnnounceFlags.

• Ändern Sie den Wert von AnnounceFlags auf den Wert A ab.

• Starten Sie den Zeitdienst auf dem Server neu, zum Beispiel mit dem Befehl net stop w32time && net start w32time.

Gehen Sie folgendermaßen vor, um einen Domänencontroller für die Synchronisierung mit einer externen Zeitquelle zu konfigurieren:

• Öffnen Sie durch Eingabe von regedit im Suchfeld der Taskleiste den Registrierungs-Editor.

• Navigieren Sie zu HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ W32Time \ Parameters.

• Klicken Sie im rechten Bereich mit der rechten Maustaste auf Type und ändern Sie den Wert von NT5DS auf NTP ab.

• Navigieren Sie zu HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ W32Time \ Config.

• Ändern Sie den Wert AnnounceFlags auf den Wert 5 ab.

• Navigieren Sie zu HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ W32Time \ TimeProviders \ NtpServer.

• Klicken Sie im rechten Bereich mit der rechten Maustaste auf Enabled und ändern Sie den Wert auf 1 ab.

• Navigieren Sie zu HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ W32Time \ Parameters.

• Klicken Sie im rechten Bereich mit der rechten Maustaste auf NtpServer und ändern Sie den Wert auf den gewünschten NTP-Server ab. Tragen Sie am besten eine durch Leerzeichen getrennte Liste ein. Sie müssen ,0x1 an das Ende der einzelnen DNS-Namen anhängen. Tragen Sie ,0x2 hinter den Eintrag ein, verwendet Windows diesen Server nur, wenn er Server mit dem Eintrag ,0x1 nicht erreichen kann. Klappt nach der Konfiguration die Zeitsynchronisierung nicht, unterstützt der entsprechende Server nicht die Standardkonfiguration von NTP. In diesem Fall tragen Sie ,0x4 nach dem Servernamen ein. Diese Option aktiviert den Symmetric Active Mode. Normalerweise verwendet NTP einen Client/Server-Modus, der für die meisten Zeitserver funktioniert.

• Navigieren Sie zu HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ W32Time \ TimeProviders \ NtpClient.

• Klicken Sie im rechten Bereich mit der rechten Maustaste auf SpecialPollInterval und ändern Sie den Wert auf Dezimal ab. Tragen Sie das Intervall in Sekunden ein, in denen sich der Server mit dem Internet synchronisiert. Der von Microsoft empfohlene Dezimalwert ist 900. Dieser Wert konfiguriert den Zeitserver für ein Intervall von 15 Minuten.

• Geben Sie in der Eingabeaufforderung den folgenden Befehl ein: net stop w32time && net start w32time

Anschließend können Sie in der Ereignisanzeige des Domänencontrollers über System überprüfen, ob die Synchronisierung funktioniert. Hier sehen Sie eine entsprechende Meldung der Quelle Time-Service. Außer über die Registry können Sie die Einstellungen auch über w32tm.exe vornehmen, zum Beispiel mit den folgenden Befehlen:

Die Zeitserver trennen Sie durch Leerzeichen voneinander. Die gesamte Liste der Zeitserver tragen Sie in Anführungszeichen ein. Der Befehl hat grundsätzlich die gleichen Auswirkungen wie die Anpassungen in der Registry. Führen Sie den Befehl vor der Bearbeitung der Registry aus, sehen Sie die erstellten Einträge, zum Beispiel bei den hinterlegten Zeitservern.

Die Option reliable definiert den Zeitserver als vertrauenswürdige Zeitquelle. Syncfromflags legt fest, dass sich der Server mit einem Zeitserver im Internet (/syncfromflags:manual) oder in der Gesamtstruktur (/syncfromflags:domhier) synchronisieren soll.

Mit dem Befehl w32tm /monitor können Sie die Synchronisierung überwachen und die Einstellungen anzeigen. Den Status der Synchronisierung sehen Sie mit dem Befehl w32tm /query /status. Überprüfen Sie nach der Konfiguration, ob sich der Server problemlos mit dem externen Zeitserver synchronisiert und keine Fehler in der Ereignisanzeige erscheinen. Die verschiedenen Einstellungen, die Sie in der Registry vornehmen können, finden Sie im

Definition

Was ist Active Directory?

Alles, was Sie wissen müssen!

Active Directory & Domain Networking im Fokus

Active Directory & Domain Networking ist seit vielen Jahren ein Schwerpunktthema bei IP-Insider. Neben zahlreichen Fachartikeln finden Sie auch viele Definitionen und Begriffserklärungen aus diesem Themenkomplex auf unserer Website. Am Artikelende der Begriffserläuterung „Was ist Active Directory?“ haben wir als Service für Sie jetzt alle auf IP-Insider erschienenen Artikel rund um die Themen Active Directory, Entra ID und Domain Networking für Sie zusammengefasst. Viel Spaß beim Schmökern!

Wege zum stabilen und schnellen Active Directory

In 17 Schritten zum perfekten Domänencontroller

Active Directory bleibt erhalten und wird moderner

Windows Server 2025 kommt mit neuem Active Directory

Änderungen, Aktivitäten, Zugriffe und Abläufe im Blick behalten

Die 15 besten Auditing-Tools für Active Directory

(ID:46158794)