Domain Controller 時間漂移（Clock Skew）導致 Kerberos 驗證失敗

您好，

錯誤 KRB_AP_ERR_SKEW 通常表示用戶端與網域控制站（Domain Controller，DC）之間的時間差超出 Kerberos 的預設容許範圍，一般為 5 分鐘。

為了解決此問題，建議先確認 PDC Emulator 是否已設定為網域的權威時間來源，並透過 Windows Time Service（W32Time）與可靠的外部 NTP 伺服器同步時間。

您可以在 PDC Emulator 及受影響的系統上執行以下指令，以驗證目前的設定與時間同步狀態：

• w32tm /query /configuration：檢查 Windows Time Service 的目前設定。
• w32tm /query /status：查看時間同步狀態及相關資訊。
• w32tm /query /source：確認目前使用的時間來源。

確認 PDC Emulator 已正確同步時間後，請確保其他網域控制站及網域成員伺服器皆依循 Active Directory 網域時間階層（NT5DS） 進行同步，讓這些系統能自動從網域階層取得正確的時間來源。

如果確認時間同步階層與設定皆正常後，問題仍然存在，請提供上述指令的輸出結果，以及相關的 System Event Logs（系統事件記錄），我們將很樂意協助您進一步排查。

希望以上資訊能對您有所幫助。如果您認為這個回答有幫助，請點選 「Accept Answer」，讓我知道這些建議是否解決了您的問題。

Jason

我想跟進確認一下，您的問題是否已經解決。如果您還需要更多資訊，歡迎隨時回覆。 如果上述資訊對您有所幫助，歡迎點擊 「Accept Answer」，幫助社群中的其他使用者找到解決方案。謝謝！