8.8 Zeitdienst

In einer Active Directory-Umgebung ist die exakte Zeit entscheidend. Gehen die Uhren der Domänencontroller, Mitgliedsserver und PCs zu »unterschiedlich«, ist eventuell eine Kommunikation der Systeme untereinander nicht mehr möglich. Ein Grund dafür ist das Kerberos-Protokoll, das nur geringfügige Zeitabweichungen toleriert.

Abgesehen von den technischen Gründen ist es für die Anwender durchaus ein Komfortfaktor, wenn die PCs die korrekte Zeit anzeigen und nicht völlig »nach dem Mond« gehen.

Der Domänencontroller, der die FSMO-Rolle PDC-Emulator innehat, ist standardmäßig für die Verbreitung der »richtigen« Zeitinformation in der Domäne verantwortlich, und alle Domänenmitglieder holen sich von diesem System die Zeit. Im Klartext heißt das: Geht der Domänencontroller mit PDC-Emulator-FSMO-Rolle nach dem Mond, ist die Uhrzeit in der ganzen Domäne falsch. Das Beruhigende ist, dass es innerhalb der Domäne keine technischen Probleme (insbesondere mit Kerberos) gibt, weil die Zeitdifferenz (!) zwischen den Systemen gering genug ist. Trotzdem ist die »absolute Zeit« schlicht und ergreifend nicht richtig.

8.8.1 Grundkonfiguration der Zeitsynchronisation

Die »zeitlichen« Probleme sind recht einfach in den Griff zu bekommen, wenn Sie Ihren PDC-Emulator anweisen, sich mit einem der vielen im Internet verfügbaren Zeitserver zu synchronisieren. Recht beliebt, zumindest in Deutschland, ist beispielsweise der Zeitdienst der Physikalisch-Technischen Bundesanstalt, der über die Hostnamen ptbtime1.ptb.de und ptbtime2.ptb.de angesprochen werden kann.

Damit ein Domänencontroller als zuverlässige Zeitquelle (reliable time source) angesehen wird, muss dies explizit festgelegt werden. Dabei ist es nicht notwendig, dass eine Zeitsynchronisation mit einem externen Zeitdienst stattfindet. Wenn die eingebaute Uhr des Servers hinreichend zuverlässig ist, beispielsweise weil eine Funkuhr angeschafft und installiert wurde, kann diese Uhrzeit auch für »reliable« erklärt werden. Da in den meisten Umgebungen eine Synchronisation mit einem Internet-Zeitdienst konfiguriert werden wird, zeige ich das im Beispiel.

Der verantwortliche Dienst für die Zeitsynchronisation ist W32Time (der Anzeigename im Snap-In Dienstesteuerung-Snap-In ist Windows-Zeitgeber. Es gibt keine grafische Unterstützung für die Konfiguration, sodass zwei dokumentierte Möglichkeiten bleiben:

• die Verwendung des Kommandozeilenwerkzeugs w32tm
• die Anpassung der Registrierung mittels regedit

Die Verwendung des Kommandozeilenwerkzeugs dürfte der angenehmere Weg sein; Microsoft hat allerdings auch die Registry-Einträge dokumentiert.

Um den PDC-Emulator zu einer zuverlässigen Zeitquelle zu erklären, die regelmäßig mit im Internet stehenden Zeitservern synchronisiert, wird dieser Befehl auf der Kommandozeile eingegeben:

w32tm /config /manualpeerlist:peers /syncfromflags:manual /reliable:yes /update

Einige Anmerkungen:

• peers ist ein Platzhalter für die Zeitserver, mit denen synchronisiert werden soll.
• Mit dem Parameter /syncfromflags wird festgelegt, ob mit einem Zeitdienst im Internet (manual) oder in der Gesamtstruktur (domhier) synchronisiert werden soll.
• /reliable:yes erklärt den Server zu einem zuverlässigen Zeitserver.

Um eine sofortige Synchronisierung zu erzwingen, können Sie folgenden Befehl eingeben:

w32tm /resync

Es ist natürlich nicht notwendig, ständig manuell das Synchronisieren zu initiieren, vielmehr erledigt dies der Zeitdienst in einem festgelegten Intervall. Mit w32tm /query /status können Sie den aktuellen Zustand – unter anderem mit der Zeit der letzten Synchronisierung und der Zeitquelle – abfragen. In Abbildung 8.187 ist zu erkennen, dass die Zeitabfrage in der Tat regelmäßig stattfindet. Allerdings variiert das Abrufintervall leicht.

Abbildung 8.187 Die Zeit dieses Domänencontrollers wird regelmäßig synchronisiert.

Wenn man auf ein anderes Domänenmitglied schaut, egal ob auf Server oder PC, sollte sich eine Situation wie in Abbildung 8.188 ergeben:

• Die Eingabe von w32tm /query /status wird zeigen, dass das System mit dem PDC-Emulator oder einem Domänencontroller synchronisiert.
• Gibt man net time ein, wird die Zeit von dem Server angezeigt, von dem die lokale Maschine die Netzwerkzeit bezieht.

Abbildung 8.188 Der Zeitstatus auf dem Client. Ein Anruf von »net time« sollte übrigens die Zeit des Servers zeigen.

8.8.2 Größere Umgebungen

In einer kleinen Umgebung mit einer Domäne und einem oder zwei Domänencontrollern brauchen Sie sich keine Gedanken über die Struktur der Zeitsynchronisation zu machen. In einer komplexeren Umgebung ist das aber durchaus ein spannendes Thema. Abbildung 8.189 zeigt den Ablauf in einer Gesamtstruktur mit zwei Domänen:

• Standardmäßig ist der Domänencontroller mit der PDC-Emulator-Rolle in der Root-Domäne der Gesamtstruktur (die erste installierte Domäne) die oberste Instanz in Sachen »Zeit«. Sinnvollerweise gleicht er die Zeit mit einem externen Zeitserver ab.
• Die Domänencontroller in der Root-Domäne erhalten die Zeitinformationen vom PDC-Emulator ebendieser Domäne.
• Mitgliedsserver und Clients der Domäne erhalten die Zeitinformationen von einem beliebigen Domänencontroller.
• In der untergeordneten Domäne erhält der PDC-Emulator die Zeit von einem beliebigen Domänencontroller der übergeordneten Domäne.
• Die Domänencontroller der untergeordneten Domäne gleichen die Zeit mit »ihrem« PDC-Emulator oder einem beliebigen Domänencontroller der übergeordneten Domäne ab.
• Die Mitgliedsserver und Clients erhalten die Zeitinformation von einem beliebigen Domänencontroller ihrer eigenen Domäne.

Abbildung 8.189 Struktur des Zeitabgleichs in einer größeren Umgebung

Die Wahl, mit welchem Domänencontroller die Zeit letztendlich synchronisiert wird, ist übrigens nicht zufällig. Ein System führt einige Abfragen durch und baut eine Bewertungsliste auf, in der den möglichen Zeit-Synchronisationspartnern gemäß Tabelle 8.4 ein Wert zugewiesen ist. Man sieht beispielsweise, dass der lokale Standort die höchste Priorität hat – es macht ja auch Sinn, die WAN-Strecken zu schonen.

Ihre Meinung

Wie hat Ihnen das Openbook gefallen? Wir freuen uns immer über Ihre Rückmeldung. Schreiben Sie uns gerne Ihr Feedback als E-Mail an kommunikation@rheinwerk-verlag.de.