域时间同步必须遵循stratum分层架构，林根域pdc emulator须直连可信外部ntp源（如time.windows.com），子域dc自动同步至本域pdc，成员机默认通过nt5ds模式向域控制器同步，禁用手动指定ntp以免kerberos失败。
在域环境中，时间同步不是简单的“校准一下”，而是必须遵循分层架构（stratum）设计，否则 kerberos 认证会频繁失败、组策略应用延迟、日志时间错乱，甚至导致域成员无法登录。
域控制器的时间源必须指向可信外部 NTP 服务器
林根域控制器（FSMO PDC Emulator 角色持有者）是整个域时间同步的顶层源头。它不能依赖其他域内机器，必须直连高精度、可信赖的外部 NTP 源（如 pool.ntp.org、time.windows.com 或企业自建 NTP 服务器）。
- 用管理员权限运行命令配置（以 time.windows.com 为例）：
- w32tm /config /syncfromflags:manual /manualpeerlist:"time.windows.com,0x8" /reliable:yes /update
- w32tm /resync /force 强制立即同步
- 确认状态：w32tm /query /status 中应显示 “Source: time.windows.com” 且 “Last Successful Sync Time” 为近期时间
- 注意：0x8 标志表示使用客户端模式（NTP client），避免被误判为对等节点
下级域控制器自动从 PDC Emulator 同步
默认情况下，所有非 PDC 的域控制器会通过域层次自动发现并同步到本域的 PDC Emulator，无需手动配置。关键在于确保 Active Directory 复制正常、DNS 解析正确，且防火墙开放 UDP 123 端口。
- 验证方式：在子域 DC 上运行 w32tm /query /peers，输出中应包含本域 PDC 的主机名或 IP，并标记为 “Active”
- 若未自动加入，检查注册表项 HKLM\SYSTEM\CurrentControlSet\Services\W32Time\Parameters 下的 Type 值是否为 NT5DS（域环境默认值）
- 禁止将子域 DC 的 Type 改为 NTP 或 AllSync——这会破坏分层结构，引发时间环路
域成员计算机默认从域控制器同步，无需额外设置
加入域的 Windows 工作站和服务器，默认使用 NT5DS 模式，自动向登录所在站点内的可用域控制器发起时间同步请求（每 45 分钟一次），整个过程由系统后台服务 w32time 自动完成。
- 检查是否生效：在客户端执行 w32tm /query /configuration，确认 Type 为 NT5DS，NtpServer 为空（表示走域发现机制）
- 若手动指定 NTP 服务器（如设为 time.windows.com），会覆盖域同步逻辑，导致 Kerberos TGT 验证失败（时钟偏差 > 5 分钟即拒绝）
- 排查时间偏差大时，优先查客户端 DNS 是否能正确解析域控制器、网络是否丢包、w32time 服务是否运行
跨林/多域环境需显式配置信任链与时间传递路径
当存在多个林或父子域且 PDC Emulator 不在同一林时，时间不能跨林自动传递。必须确保每个林的 PDC Emulator 都独立配置外部可靠时间源，或通过专用转发链路（如 A 林 PDC → B 林 PDC → 外部 NTP）明确指定同步路径。
- 禁用跨林自动同步：确保各林 PDC 的 w32tm /config /syncfromflags:manual，不设为 domaingroup 或 all
- 若需链式同步（如安全合规要求统一时间源），可在中间林 PDC 上启用 NTP Server 功能：w32tm /config /type:NTP /reliable:yes /update，再让下游林 PDC 将其设为 manual peer
- 务必测试全链路同步延迟（w32tm /stripchart /computer:目标 /dataonly /samples:5），单跳偏差应控制在 100ms 内
