Contrôleur de domaine, Hyper-v & horloge

Si vous lisez cet article, c'est que vous avez certainement rencontré des problèmes de synchronisation de l'horloge.

Dans un domaine Active Directory, le rôle FSMO CDP est responsable de la synchronisation horaire de tous les postes et serveurs du domaine. Pour des raisons de sécurité, votre système informatique ne peut fonctionner correctement si les horloges ont un décalage de plus de 5 minutes. Kerberos refusera toute authentification dans ce cas.

Lors de l'installation d'un contrôleur de domaine sur un poste physique, l'administrateur paramétrait l'horloge interne de contrôleur de domaine de façon a se synchroniser avec une horloge externe. Si vous n'avez pas définit un serveur de temps, vous aurez dans votre observateur d'événement une erreur "W32TIME". La première action de de décocher cette fonctionnalité et cela sur tous les postes virtualisés.

De nos jours, on virtualise de plus en plus les serveurs et donc les contrôleurs de domaine. Or, Hyper-V possèdent les services d'intégration et un de ses modules est justement destiné à synchroniser l'heure des postes virtualisés avec sa propre horloge! Les conséquences sont visible au fil du temps. Vous constaterez un décalage régulier de l'heure des postes et notamment par le départ avancé du personnel!!!

Si vous tapez la commande suivante sur votre dc:

w32tm.exe /query /source

Vous constaterez que votre Contrôleur de domaine virtualisé se synchronise grâce aux composants d'intégration d'Hyper-V.

La première étape consiste à couper cette synchronisation. Pour cela tapez:

reg add HKLM\SYSTEM\CurrentControlSet\Services\W32Time\TimeProviders\VMICTimeProvider /v Enabled /t reg_dword /d 0

Vous allez ensuite redéfinir le serveur de temps avec lequel vous souhaitez vous synchroniser.

w32tm /config /manualpeerlist:time.windows.com /syncfromflags:MANUAL /update

Afin de forcer la prise en compte de ces nouveaux paramètres, redémarrer le service "W32time"

net stop w32time & net start w32time

Forcer la synchronisation

w32tm /resync /force

Vérifier une dernière fois sur quel serveur de temps vous pointez:

w32tm.exe /query /source

Gardez à l'esprit que le service de temps utilise le socket UDP/123, veillez par conséquent à ouvrir votre pare-feu.