Active Directory ortamında NTP ve saat eşitleme ayarları

Durum: NTP yapılandırması analiz edildi; GPO çakışması nedeniyle uçtan uca doğrulama açık. Gizlilik: Tüm sunucu, kullanıcı ve şirket adları anonimleştirildi; komutlardaki adresler örnektir.

Saat servisinde bir DC’nin doğru yapılandırıldığını sanarken Grup Politikası’nın yerel ayarı tekrar yazması kolayca gözden kaçabiliyor.

Gerçek durum

DC geçişinde PDC Emulator rolünün yeni sunucuya taşınmasının ardından zaman kaynakları değerlendirildi. Bir DC üzerinde `Type=NTP (Policy)` ve başka birinde `AnnounceFlags=5` gibi ayarlar incelendi. GPO’nun eski sunucuda harici NTP kullanımı dayatabildiği belirlendi.

Bu çalışma PDC ve domain hierarchy farkını anlamamızı sağladı; tüm istemcilerin doğru eşitlendiği iddia edilmiyor.

Hedef model

• Orman kökü PDC Emulator belirlenir.
• Yetkili PDC, kurumun güvenilir harici saat kaynaklarını kullanır.
• Diğer etki alanı üyesi makineler ve DC’ler mümkün olduğunca NT5DS üzerinden etki alanı hiyerarşisini izler.
• Kaynak ayarı ‘(Policy)’ ise önce ilgili GPO bulunur; yerel düzeltmenin kalıcı olması beklenmez.

Tanılama komutları

`AnnounceFlags=5` her ortam için uygun tek seçenek değildir; Microsoft bağlantı kaybı ve polling koşulları için farklı davranışları belgeler. UDP 123, dış DNS ve zaman kaynakları da kontrol edilmelidir.

netdom query fsmo
w32tm /query /configuration
w32tm /query /source
w32tm /query /status
w32tm /monitor
gpresult /scope computer /r
# Yalnızca doğru PDC üzerinde, GPO uyumuyla:
w32tm /config /manualpeerlist:"time.cloudflare.com,0x8 time.google.com,0x8" /syncfromflags:manual /reliable:yes /update
w32tm /resync /rediscover

Kontrol listesi ve eksik kalan nokta

• PDC’nin gerçek `source` değeri beklenen upstream kaynağa işaret ediyor mu?
• Diğer DC’ler ve üyeler yeni etki alanı zaman hiyerarşisine dönmüş mü?
• `gpresult` ve `w32tm /query /configuration` çıktıları aynı hedefi gösteriyor mu?
• Olay günlüğünde W32Time uyarıları tekrarlıyor mu?

Ders

Saat ayarı sadece komut çalıştırmak değil, komutu geri değiştirebilecek merkezi politikayı anlamaktır. Bu vakada son GPO çakışmasının giderildiği doğrulanmadan kesin sonuç verilmemeli.

Başvuru kaynağı: https://learn.microsoft.com/en-us/troubleshoot/windows-server/active-directory/configure-authoritative-time-server