时间不同步是Kerberos认证失败最常见原因，客户端与域控制器偏差超5分钟即拒绝票据请求；需用net time、w32tm等命令检查并强制同步，排查防火墙、虚拟机冲突及PDC时间源配置，长效预防需统一NT5DS策略并定期巡检。

kerberos 认证失败，时间不同步是最常见也最容易被忽略的原因。只要客户端与域控制器（dc）时间偏差超过 5 分钟，票据请求就会被直接拒绝，错误码如 0x80090322、kdc_err_clock_skew 或登录时提示“账户限制”“无法联系域控制器”，基本可锁定为时间问题。

快速确认时间偏差是否存在

在报错的客户端上，以管理员身份运行以下命令：

• net time /domain：查看当前所连域及主域控制器名称（如 DC01.contoso.com）
• w32tm /query /status：重点关注 Source（应为域控 FQDN）和 Skew 字段（单位毫秒；>300000 即超 5 分钟）
• date /t && time /t 与在域控制器上执行相同命令，人工比对日期与具体时间

立即强制同步并验证时间源

若 Skew 明显超标，不要等待自动同步：

直播间话术巡检-windows

直播话术巡检系统(Windows版) — 实时语音转写、关键词检测、场景自动切换、告警推送、大屏可视化。支持 Windows VB-Cable 虚拟声卡音频采集，阿里云 ASR 实时识别。一键启动脚本，自动安装环境。

下载

• 执行 w32tm /resync /force 强制拉取时间；失败则先确保服务已启动：net start w32time
• 若仍不同步，重置时间源策略：w32tm /config /syncfromflags:domhier /update
• 重启服务生效：net stop w32time && net start w32time
• 再次运行 w32tm /query /status，确认 Source 已变为域控，且 Skew 回落到几百毫秒内

排查同步失败的底层原因

即使命令执行成功，也可能因以下原因导致后续再次漂移或同步中断：

• 防火墙拦截 UDP 123 端口：客户端与域控之间必须允许该端口通信，跨网段或有安全组时需专项放行
• 虚拟机时间同步冲突：Hyper-V/VMware 客户机需关闭“与主机同步时间”功能，否则会覆盖域时间源
• 域控制器自身不准：用 netdom query fsmo 找到 PDC 模拟器，检查其是否已配置可靠外部 NTP（如 time.windows.com），且 w32tm /query /configuration 中 AnnounceFlags ≥ 5
• 注册表或组策略覆盖：检查 HKLM\SYSTEM\CurrentControlSet\Services\W32Time\Parameters 下 Type 是否为 NT5DS，NtpServer 值是否为空或被硬编码为公网地址

长效预防与日常监控建议

避免反复踩坑，关键在源头治理和轻量巡检：

• PDC 模拟器必须指向可信外部 NTP，并设置 /reliable:yes；其他 DC 和客户端统一使用 NT5DS 类型，不直连公网 NTP
• 定期批量检查域内设备时间状态：for /f %i in ('dsquery server -forest') do @w32tm /query /status /computer:%i 2>nul | findstr "Source Skew"
• 可在登录脚本中加入简单校验逻辑：偏差超 120 秒则自动触发 w32tm /resync，无需人工干预