| Предыдущий | Следующий |
| STATUS_LOGON_SERVER_CONFLICT | STATUS_SYNCHRONIZATION_REQUIRED |
STATUS_TIME_DIFFERENCE_AT_DC
Что означает STATUS_TIME_DIFFERENCE_AT_DC
STATUS_TIME_DIFFERENCE_AT_DC — время на основном контроллере домена слишком сильно отличается от времени на резервном контроллере домена или рядовом сервере.
Что проверить
Зафиксируйте контроллер домена и операцию, которая вернула код.
- Для конфигурации/повышения роли проверьте состояние AD DS и служба каталогов; для расхождения времени — источник времени и фактическую разницу часов клиента и DC.
- Не смешивайте временную ошибку во время promotion с постоянной ошибкой конфигурации после его завершения.
Практический смысл и диагностика
- Domain authentication обнаружила рассинхронизацию часов, превышающую допустимое для Kerberos окно.
- Измерьте реальный offset между клиентом, DC и другими системами, непосредственно участвовавшими в неудачной аутентификации.
- Проверьте источник времени и Windows Time hierarchy: domain members обычно должны получать время через доменную иерархию, а PDC emulator — от корректного внешнего источника.
- Не увеличивайте Kerberos clock-skew tolerance как основное исправление: это скрывает неисправный time source и ослабляет защиту от replay.
- После исправления источника синхронизируйте время и повторите authentication; в журнале сохраните DC, offset, time source и момент последней успешной sync.
Технические ссылки
Нужно найти другой код? Найти другой код состояния или ошибки.