Active Directory 網域中，時間同步至關重要：Kerberos 驗證要求用戶端與網域控制站（DC）時間偏差不超過 5 分鐘，否則將導致登入失敗、群組原則無法套用、資料庫複寫錯誤等問題。本文說明如何在網域控制站與用戶端正確設定 Windows Time 服務（W32Time）。

一、網域控制站（PDC 模擬器）設定

網域樹系根網域的 PDC 模擬器為時間權威來源，建議指向可靠的外部 NTP 伺服器（如 time.windows.com、pool.ntp.org 或國家標準時間中心）。

1. 登錄檔設定 NTP 來源

開啟 regedit，瀏覽至：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Parameters

• Type = NTP
• NtpServer = time.windows.com,0x9（0x9 表示使用 Client 模式並啟用輪詢）

2. 群組原則啟用 NTP 伺服器功能

開啟 gpmc.msc，編輯「預設網域控制站原則」或建立新 GPO 連結至 Domain Controllers OU：

電腦設定 → 原則 → 系統管理範本 → 系統 → Windows Time Service → Time Providers

• 啟用 Windows NTP 用戶端：已啟用
• 啟用 Windows NTP 伺服器：已啟用

3. 設定 Windows Time 服務自動啟動

電腦設定 → 原則 → Windows 設定 → 安全性設定 → 系統服務 → Windows Time

設為 自動。

4. 重新啟動服務並驗證

net stop w32time && net start w32time
w32tm /query /status
w32tm /query /source

確認 Source 指向設定的 NTP 伺服器，Stratum 值合理（通常 2~4）。

二、網域用戶端（成員伺服器/工作站）設定

網域成員預設會透過網域階層自動同步時間（NT5DS 類型），通常無需額外設定。若發現時間不同步，請依序執行：

1. 強制更新群組原則：gpupdate /force
2. 重新啟動時間服務：net stop w32time && net start w32time
3. 強制立即同步：w32tm /resync /rediscover
4. 檢查同步狀態：w32tm /query /status

常見問題排查

• 防火牆阻擋 UDP 123： 確保 DC 與用戶端、DC 與外部 NTP 伺服器之間 UDP 123 通訊正常。
• 虛擬機器時間漂移： Hyper-V/VMware 虛擬機建議啟用「時間同步化」整合服務，但僅同步主機時間，主機仍需正確對外同步。
• 多網域樹系： 子網域 PDC 應指向父網域 PDC，最終由樹系根 PDC 對外同步。