Virtualization Time Sync 同 w32time 打架導致 Domain VM Time Drift，實體 DC / VM 最 Standard 嘅 Setting 係點？

歡迎來到 Microsoft Q&A 論壇！

感謝您提供此問題的詳細資訊。

根據您的描述，這似乎是一個典型的案例，即 多個時間權威來源（multiple time authorities） 同時嘗試控制同一部虛擬機器。在 Active Directory 環境中，建議將每個系統設定為只遵循 單一權威時間來源（a single authoritative time source）。若同時使用 Hyper-V 時間同步功能與 Windows 時間服務（w32time）作為時間提供者，可能導致時間漂移（time drift）及同步不穩定的問題。

在典型的企業 Active Directory 環境中，AD 時間階層（AD time hierarchy）應作為所有已加入網域系統的權威時間來源。Windows 時間服務（w32time）的設計目的，是維持整個網域內時間的一致性。

我建議採用下列設定：

• 保持 Windows 時間服務（w32time） 啟用。
• 將虛擬機器設定為透過 Active Directory 網域時間階層（AD time hierarchy） 進行時間同步。
• 避免同時存在多個權威時間來源。
• 如果 Hyper-V 時間同步正在覆蓋網域時間並導致時間漂移，請檢查設定，確保只有一個服務作為權威時間來源。

1. 網域控制站（Domain Controllers）

對於網域控制站：

• 將時間同步設定為透過 AD 時間階層 進行。
• 樹系根網域的 PDC Emulator（PDC 模擬器） 應被設定為權威時間來源，並與可靠的外部 NTP 伺服器同步。
• 其他所有網域控制站應透過網域階層同步時間，最終追溯至 PDC Emulator。

2. 虛擬化網域控制站與 PDC Emulator 虛擬機器

對於虛擬化的網域控制站，特別是 PDC Emulator 虛擬機器（PDC Emulator VM），主要目標是避免 Hyper-V 主機與來賓作業系統同時爭奪時間權威來源的角色。

• PDC Emulator 應透過 w32time 搭配可靠的外部 NTP 來源，持續維持其權威時間來源的角色。
• 應避免讓主機端時間同步機制覆蓋 AD 時間階層，因為這可能造成時間漂移、Kerberos 驗證失敗以及 Active Directory 複寫問題。

關鍵原則是：每部系統只應有一個權威時間來源（one authoritative time source per system）。

對於大多數已加入網域的虛擬機器，建議透過 w32time 依循 Active Directory 時間階層 進行同步。對於 樹系根網域的 PDC Emulator，則應設定與可信任的外部 NTP 來源同步，並避免引入其他相互競爭的時間提供者。如此可幫助維持整個網域的正確時間，並避免 Kerberos 驗證與 AD 複寫相關問題。

如需更多資訊，請參閱：

Time Synchronization in Hyper-V | Microsoft Learn

Keeping the Domain On Time | Microsoft Learn

Time Synchronization and Domain Controller VM's | Microsoft Learn

使用權威時間來源設定根 PDC，就能避免廣泛的時差問題 - Microsoft Engage Center | Microsoft Learn

Windows 時間服務工具和設定 | Microsoft Learn

希望以上說明能幫助您釐清此問題。若您覺得此資訊對您有所幫助，請點選 「接受解答（Accept Answer）」。

感謝您選擇透過 Microsoft Q&A 提出您的問題。