我想跟進確認一下，您的問題是否已經解決。如果您還需要更多資訊，歡迎隨時回覆。 如果上述資訊對您有所幫助，歡迎點擊 「Accept Answer」，幫助社群中的其他使用者找到解決方案。謝謝！
Domain Controller 時間漂移（Clock Skew）導致 Kerberos 驗證失敗
![](data:image/svg+xml, %3Csvg xmlns='http://www.w3.org/2000/svg' height='64' class='font-weight-bold' style='font: 600 30.11764705882353px "SegoeUI", Arial' width='64'%3E%3Ccircle fill='hsl(291.2, 60%, 38%)' cx='32' cy='32' r='32' /%3E%3Ctext x='50%25' y='55%25' dominant-baseline='middle' text-anchor='middle' fill='%23FFF' %3EHB%3C/text%3E%3C/svg%3E)
Heung Bin
140
信譽點數
您好，
目前網域成員伺服器（Member Servers）在進行 Kerberos 驗證時持續失敗，並回報錯誤 KRB_AP_ERR_SKEW。初步懷疑是網域控制站（Domain Controller，DC）與成員伺服器之間存在時間偏移（Clock Skew），導致 Kerberos 驗證要求超出允許的時間差範圍。
為了排除此問題，我們希望確認 Active Directory 網域的時間同步架構是否正確，特別是作為網域時間權威來源的 PDC Emulator，是否已正確設定為與外部 NTP（Network Time Protocol）伺服器同步。
請問應如何設定 PDC Emulator，使其與指定的外部 NTP 來源進行時間同步？此外，應如何使用 Windows Time Service（W32Time）相關指令，驗證目前的同步狀態與時間來源，並確保其他網域控制站及網域成員伺服器能透過 Active Directory 網域階層正確同步時間？
非常感謝！
Windows 商務版 | Windows 365 企業版
-
![](data:image/svg+xml, %3Csvg xmlns='http://www.w3.org/2000/svg' height='64' class='font-weight-bold' style='font: 600 30.11764705882353px "SegoeUI", Arial' width='64'%3E%3Ccircle fill='hsl(172.8, 86%, 26%)' cx='32' cy='32' r='32' /%3E%3Ctext x='50%25' y='55%25' dominant-baseline='middle' text-anchor='middle' fill='%23FFF' %3EJN%3C/text%3E%3C/svg%3E)
Jason Nguyen Tran 29,710 信譽點數 獨立顧問2026-10-09T03:51:37.5033333+00:00 您好，
錯誤
KRB_AP_ERR_SKEW通常表示用戶端與網域控制站（Domain Controller，DC）之間的時間差超出 Kerberos 的預設容許範圍，一般為 5 分鐘。為了解決此問題，建議先確認 PDC Emulator 是否已設定為網域的權威時間來源，並透過 Windows Time Service（
W32Time）與可靠的外部 NTP 伺服器同步時間。您可以在 PDC Emulator 及受影響的系統上執行以下指令，以驗證目前的設定與時間同步狀態：
-
w32tm /query /configuration：檢查 Windows Time Service 的目前設定。 -
w32tm /query /status：查看時間同步狀態及相關資訊。 -
w32tm /query /source：確認目前使用的時間來源。
確認 PDC Emulator 已正確同步時間後，請確保其他網域控制站及網域成員伺服器皆依循 Active Directory 網域時間階層（
NT5DS） 進行同步，讓這些系統能自動從網域階層取得正確的時間來源。如果確認時間同步階層與設定皆正常後，問題仍然存在，請提供上述指令的輸出結果，以及相關的 System Event Logs（系統事件記錄），我們將很樂意協助您進一步排查。
希望以上資訊能對您有所幫助。如果您認為這個回答有幫助，請點選 「Accept Answer」，讓我知道這些建議是否解決了您的問題。
Jason
-