w32tm

配置和诊断 Windows 时间服务，排查时间偏差引发的认证故障。

补充说明

w32tm 管理 Windows Time 服务（W32Time），可查询时间源与偏差、监控多台主机、强制同步，以及配置域层级或手动外部源。域成员默认按 NT5DS 层级向域控同步，PDC 模拟器应指向可靠外部源。

命令需要管理员权限，且 W32Time 服务必须运行。时间跳变会影响日志顺序、证书校验、计划任务和 Kerberos，因此生产环境调整前要确认影响窗口，不要把它当成无害的查询工具。

Windows Server 2016+ 与 Windows 10/11 基本一致。虚拟机要特别注意 Hyper-V 时间集成服务可能覆盖域时间配置，必要时禁用主机时间同步。

常用示例

# 查看当前时间源、偏差和同步状态
C:\> w32tm /query /status

# 查看完整配置，确认是 NT5DS 还是手动时间源
C:\> w32tm /query /configuration

# 监控多台 DC 与本地的时间偏差
C:\> w32tm /monitor /computers:DC01,DC02

# 连续采样，观察时间偏差趋势
C:\> w32tm /stripchart /computer:DC01 /samples:5

# 影响范围：立即调整本机时间，可能造成日志时间跳变、定时任务重复或漏跑
# 备份/回滚：先记录当前偏差；异常时改回原时间源并再次同步，或从备份恢复时间配置
C:\> w32tm /resync /force

# 影响范围：修改时间源与服务配置，仅建议在 PDC 模拟器上指向外部源
# 备份/回滚：先 reg export HKLM\SYSTEM\CurrentControlSet\Services\W32Time 备份；回滚时导入并重启服务
C:\> w32tm /config /manualpeerlist:"time.windows.com" /syncfromflags:manual /reliable:yes /update

易错点与排错

• /resync 报“没有可用时间数据” → 时间源不可达或 UDP 123 被拦 → 用 w32tm /stripchart /computer:<源> 验证，并检查防火墙。
• 域成员被配成手动外部源 → 打破域时间层级，PDC 与成员各自漂移 → 用 w32tm /config /syncfromflags:domhier /update 恢复域层级。
• 虚拟机时间反复跳变 → Hyper-V/VMware 时间集成与 W32Time 冲突 → 关闭主机时间同步，或按厂商建议只保留一种时间机制。
• 改了配置但未生效 → 缺少 /update 或服务未重启 → 重新执行带 /update 的命令，并 net stop w32time && net start w32time。
• Kerberos 报时间偏差 → 只修客户端不够，DC 之间也要一致 → 用 w32tm /monitor 对比所有 DC，再处理偏差源。
• 在 PDC 上配置外部源却仍不准确 → 外部源本身不可靠或网络受限 → 至少配置两个可靠源，并检查 w32tm /query /status 的源地址。

相关命令

• netdom — 查询 PDC 模拟器所在 DC
• dcdiag — DC 健康与时间相关测试
• klist — 时间偏差会表现为票据认证失败
• date — Linux 侧时间查看与同步对照
• systeminfo — 快速查看系统启动与时间信息

参考链接

• Microsoft Learn: Windows Time Service tools and settings
• Microsoft Learn: How the Windows Time Service works

读完自测

1. 域成员默认应使用哪种时间同步模式？
2. 为什么不应在普通成员服务器上配置手动外部时间源？
3. 修改 w32tm /config 后为什么必须加 /update？