windowsサーバーの時刻同期設定について

すべての返信

• 

  

  1

  サインインして投票

  w32tm か GPO のどちらかで対応可能です。

   

  私の経験ですが w32tm コマンドで変更したところ同じ様な状態になり、改めて GPO で設定したところ正常に反映された事が有りました。

  以下の blog に [ ※ W32Time サービスを再起動した後は、時刻の同期が行われるまで時間がかかる場合があるため、サービスの再起動後はしばらく時間を空けてから状況を確認してください。] と記載が有りますので、時間を置いてから状況を確認すべきなのかもしれません。

   

  FSMO の役割を転送した後の PDC エミュレーターの時刻同期の設定について

  https://blogs.technet.microsoft.com/jpntsblog/2016/12/15/time-configuration-after-fsmo-transfer/

   

  “It’s Simple!” – Time Configuration in Active Directory

  https://blogs.technet.microsoft.com/nepapfe/2013/03/01/its-simple-time-configuration-in-active-directory/

  • 編集済み LapivyMVP 2017年2月14日 0:48
  • 回答としてマーク CH4CD42 2017年2月14日 10:05

  2017年2月14日 0:46
• 

  

  1

  サインインして投票

  チャブーンです。

  この件ですが、ドメインコントローラに対してGPOで時刻同期の設定をする場合、注意が必要です。

  端的にいうと、「PDCエミュレータ」とそれ以外で、設定を分けなければならないためです。

  PDCエミュレータでは「NTP」モードで外部のNTPサーバから時刻同期を行う必要がありますが、非PDCエミュレータはPDCエミュレータから自動的に同期するよう「NT5DS」モードで設定する必要があります。

  GPOを設定した場合、それがローカルポリシーであれば設定上の問題ないですが、Default Domain PolicyやDefault Domain Controllers Policyを修正しようとすると、全台に同じ設定が適用されてしまい、問題が発生します。また暗黙の了解として、「ドメインコントローラのローカルグループポリシーの設定は全台すべて同じ」前提でシステムが構成されることが多いので、特定のドメインコントローラだけ「ローカルGPO設定が違う」という設定は、後々のトラブル(設定の再変更時に設定が変えられない等)を招来する可能性があります。

  時刻同期やGPOの挙動に十分習熟している方なら別ですが、うえの話しをふまえ、コマンドで設定変更したほうがいいのではないでしょうか？

  コマンドで設定する場合ですが、以下のように設定してください。

  w32tm /config /update /manualpeerlist:社内NTPのアドレス,0x8 /syncfromflags:manual /reliable:YES

  
  

  時刻同期の場合、外部NTPサーバ設定時の第2引数で同期モードが指定されますが、0x1を含むモードの場合非RFC1305モード(毎時間同じ同期間隔)で同期を行います。デフォルトでこの間隔は「1週間」になっており、NTPサーバとしてこの同期間隔では役に立たない(時間が経つと同期情報が無効になる)ため、NTPサーバとしては使用できません。0x9は0x8+0x1という意味になりますので、このパラメータではなく0x8を使うようにしてください。

  ---

  フォーラムは有償サポートとは異なる「コミュニティ」です。フォーラムでご質問頂くにあたっての注意点 をご一読のうえ、お楽しみください。

  
  

  • 編集済み チャブーンMVP 2017年2月14日 1:50
  • 回答の候補に設定 miyamamMicrosoft employee 2017年2月14日 5:47
  • 回答としてマーク CH4CD42 2017年2月14日 10:05

  2017年2月14日 1:45
• 

  

  0

  サインインして投票

  Lapivyさん

  ご返答いただきありがとうございます。

  w32tmサービス再起動後、直ぐに「w32tm /query /status」にて確認していたので

  少し時間を空けて確認するようにいたします。

  2017年2月14日 3:52
• 

  

  0

  サインインして投票

  チャブーンさん

  詳細なご返答ありがとうございます。

  非PDCエミュレータについては、参照先ソースがPDCエミュレータに

  なっていることを「w32tm」コマンドで確認済みのため、NTPクライアント

  設定を敢えて組み込む予定はなく、デフォルトで認識している設定のまま

  運用するように考えていますが問題ありませんか。

  1点本件に関連した内容を確認させていただきたいのですが

  他ドメインのNTP設定を(gpedit.msc)確認したところ、

  NTPserver項目にNTPのIPのみ指定されており、第二引数は

  入力されていませんでした。

  この場合、第二引数は0x9で設定され動作している状態と

  なりますか。

  2017年2月14日 4:05
• 

  

  1

  サインインして投票

  チャブーンです。

  ご質問で「グループポリシーエディタを起動」とおっしゃっているのが、ローカルグループポリシーエディタ=ローカルポリシーの編集、ということであれば、ほかのドメインコントローラに影響はありませんので、問題にはならないと思います。(しかし先に書いた理由によりあまりお奨めはしません)。

  NTPServerレジストリ値の第二引数がない場合ですが、0x4相当になります。したのページに書いてあるようです。

  http://www.atmarkit.co.jp/ait/articles/1205/17/news135_2.html

  ---

  フォーラムは有償サポートとは異なる「コミュニティ」です。フォーラムでご質問頂くにあたっての注意点 をご一読のうえ、お楽しみください。

  • 回答としてマーク CH4CD42 2017年2月14日 10:06

  2017年2月14日 5:15
• 

  

  0

  サインインして投票

  チャブーン様

   

  確かに仰る通り、ドメインコントローラーと言う特性からするとコマンドでの変更が安全ですね。

  詳細な解説もありがとうございます。今後の参考にさせて頂きます。

  2017年2月14日 6:37
• 

  

  0

  サインインして投票

  チャブーンです。

  ＃本論から逸れますが

  Lapivyさんのおっしゃりようは理解しているつもりです。

  愚にもつかない細かいこだわり...とのご指摘は十分承知していますが、過去に本当にこのようなことがあったので、トラブルを起こさない設定を考える、という必要もあると思っています。

  https://social.technet.microsoft.com/Forums/ja-JP/77835e44-3ec6-4a38-89e8-d2bb7447d450/ntp?forum=winserver8

  ---

  フォーラムは有償サポートとは異なる「コミュニティ」です。フォーラムでご質問頂くにあたっての注意点 をご一読のうえ、お楽しみください。

  • 回答の候補に設定 栗下 望Microsoft employee 2017年2月15日 0:02
  • 回答としてマーク 栗下 望Microsoft employee 2017年3月17日 4:30

  2017年2月14日 8:40
• 

  

  0

  サインインして投票

  Lapivyさん

  チャブーンさん

  この度は、ご対応いただきありがとうございました。

  今回設定を組み込んでいるポリシーは、ローカルセキュリティポリシーとなりますが

  他の影響性も考慮し「w32tm」コマンドで組み込むようにいたします。

  w32tm /config /update /manualpeerlist:社内NTPのアドレス,0x8 /syncfromflags:manual /reliable:YES

  また、お二人よりご返答内容を回答としてマークさせていただき

  投票いたしました。

  本当に貴重なご意見ありがとうございました。

  2017年2月14日 10:14