Dans un domaine Active Directory, l’heure n’est pas un détail. Kerberos, le protocole d’authentification d’AD, refuse les tickets lorsque l’écart d’horloge entre un client et un contrôleur de domaine dépasse la tolérance autorisée (5 minutes par défaut). Une horloge qui dérive, et ce sont des ouvertures de session qui échouent, des réplications en erreur et des journaux impossibles à corréler.
Bonne nouvelle : Windows gère tout cela avec une hiérarchie bien définie. Il suffit de configurer correctement un seul serveur : le contrôleur de domaine qui détient le rôle Émulateur PDC du domaine racine de la forêt.
Comment l’heure circule dans une forêt AD
- Les postes et serveurs membres se synchronisent sur un contrôleur de domaine de leur domaine.
- Les contrôleurs de domaine se synchronisent, en remontant la hiérarchie, jusqu’à l’Émulateur PDC.
- L’Émulateur PDC du domaine racine de la forêt est au sommet : c’est lui, et lui seul, qui doit aller chercher l’heure à une source externe fiable.
Si ce PDC n’est pas configuré, il utilise sa propre horloge interne… et toute la forêt hérite de sa dérive.
Étape 1 : identifier l’Émulateur PDC
Depuis une console PowerShell disposant du module Active Directory :
Get-ADDomain | Select-Object PDCEmulatorOu, en ligne de commande classique :
netdom query fsmoToutes les commandes suivantes s’exécutent sur ce serveur, dans une invite de commandes lancée en administrateur.
Étape 2 : vérifier que la source externe est joignable
NTP utilise le port UDP 123. Avant de configurer quoi que ce soit, assurez-vous que le pare-feu laisse passer ce flux, puis testez l’écart avec la source choisie :
w32tm /stripchart /computer:0.fr.pool.ntp.org /samples:5 /dataonlyLa commande affiche cinq mesures du décalage. Si vous obtenez des erreurs au lieu de valeurs, le flux UDP 123 est probablement bloqué.
Étape 3 : configurer le PDC
Indiquez plusieurs serveurs de temps (séparés par un espace, entre guillemets), demandez une synchronisation manuelle sur cette liste et déclarez le serveur comme source fiable :
w32tm /config /manualpeerlist:"0.fr.pool.ntp.org 1.fr.pool.ntp.org 2.fr.pool.ntp.org" /syncfromflags:manual /reliable:yes /updatePuis redémarrez le service de temps et forcez une resynchronisation :
net stop w32time && net start w32time
w32tm /resyncPlusieurs sources valent mieux qu’une : la synchronisation NTP externe n’est pas authentifiée, et une source unique devient un point de défaillance. Vous pouvez aussi utiliser une source interne (horloge matérielle GPS, serveur NTP de l’entreprise) si votre politique de sécurité l’impose.
Étape 4 : contrôler le résultat
w32tm /query /source
w32tm /query /status
w32tm /query /configuration/query /sourcedoit afficher l’un des serveurs configurés, et non « Local CMOS Clock » ni « Free-running System Clock »./query /statusindique la dernière synchronisation réussie et la strate.- Surveillez aussi le journal Système (source Time-Service) dans l’Observateur d’événements.
Étape 5 : les autres contrôleurs de domaine
Les autres DC doivent simplement suivre la hiérarchie du domaine. Si l’un d’eux a été configuré manuellement par le passé, remettez-le dans le rang :
w32tm /config /syncfromflags:domhier /update
net stop w32time && net start w32time
w32tm /resyncPoints d’attention
- Transfert du rôle PDC : si vous déplacez l’Émulateur PDC vers un autre serveur, configurez le nouveau titulaire comme ci-dessus et remettez l’ancien en
domhier. Sinon, vous vous retrouvez avec deux serveurs « de référence ». - Contrôleurs de domaine virtualisés : la synchronisation de l’heure fournie par l’hyperviseur (services d’intégration Hyper-V, VMware Tools) peut entrer en concurrence avec la hiérarchie AD. Vérifiez les recommandations de votre hyperviseur pour qu’un DC tienne son heure de la hiérarchie AD et non de l’hôte.
- Stratégie de groupe : la même configuration peut être poussée par GPO (paramètres du client NTP Windows), ciblée sur le seul PDC via un filtre WMI. Pratique pour qu’elle suive automatiquement le rôle.
- Supervision : un contrôle régulier de
w32tm /query /sourcesur le PDC évite les mauvaises surprises après une mise à jour ou une restauration.
En résumé
Un seul serveur à configurer (l’Émulateur PDC du domaine racine), plusieurs sources NTP fiables, le port UDP 123 ouvert, et des autres DC qui suivent la hiérarchie : c’est tout ce qu’il faut pour une forêt Active Directory à l’heure, et des authentifications Kerberos sans mauvaise surprise.
Laisser un commentaire