Windows Server 2003 で権限のあるタイム サーバーを構成する方法
重要 : この資料には、レジストリの編集方法が記載されています。万一に備えて、編集の前には必ずレジストリをバックアップし、レジストリの復元方法を理解しておいてください。バックアップ、復元、および編集方法の詳細を参照するには、以下の「サポート技術情報」 (Microsoft Knowledge Base) をクリックしてください。
256986 (http://support.microsoft.com/kb/256986/)
Microsoft Windows レジストリの説明
目次はじめに
Windows には、Kerberos 認証プロトコルで必要な W32Time というタイム サービス ツールが含まれています。この Windows タイム サービスの目的は、Microsoft Windows 2000 以降を実行している組織内のすべてのコンピュータで、確実に共通の時刻が使用されるようにすることです。
Windows タイム サービスでは、権限を制御する階層的な関係を使用し、ループを許可しないことにより、共通の時刻が使用されることを保証します。Windows ベースのコンピュータでは、デフォルトで以下の階層構造が使用されます。
内部のハードウェア クロックを使用するように Windows タイム サービスを構成する警告 : レジストリ エディタまたは別の方法を使用してレジストリを誤って変更すると、深刻な問題が発生することがあります。最悪の場合、オペレーティング システムの再インストールが必要になることがあります。マイクロソフトは、レジストリの変更により発生した問題に関しては、一切責任を負わないものとします。レジストリの変更は、自己の責任において行ってください。外部のタイム ソースを使用せずに PDC マスタを構成するには、PDC マスタのアナウンス フラグを変更します。PDC マスタとは、ドメインのフォレスト ルートの PDC マスタの役割を持っているサーバーです。この構成を行うと、PDC マスタは自身を信頼できるタイム ソースであるとアナウンスし、組み込みの CMOS (Complementary Metal Oxide Semiconductor) クロックが使用されます。内部のハードウェア クロックを使用するように PDC マスタを構成するには、以下の手順を実行します。
タイム プロバイダ NtpClient は到達できないか、現在 192.168.1.1 (ntp.m|0x0|192.168.1.1:123->192.168.1.1:123) から有効な時間データを受信中です。 タイム プロバイダ NtpClient: 手動で構成されたピア 192.168.1.1 に 8 回連絡しましたが、有効な応答を受信しませんでした。このピアをタイム ソースとして破棄し、NtpClient はこの DNS 名で新しいピアを発見しようとします。 1 つまたは複数のタイム ソースから時間を取得するようにタイム プロバイダ NtpClient は構成されていますが、どのソースも現在アクセスすることはできません。ソースへのアクセスの試行は、あと 960 分間実行されません。NtpClient が正しい時間を参照できるソースがありません。 PDC マスタが外部のタイム ソースを使用せずに実行されている場合、次のイベントがアプリケーション ログに出力されます。タイム プロバイダ NtpClient: このコンピュータは、ドメイン階層を使ってタイムソースを決定するように構成されていますが、フォレストのルートにあるドメイン用の PDC エミュレータであるため、ドメイン階層のその上にはタイム ソースとして使用するコンピュータがありません。ルート ドメインの信頼できるタイム サービスを構成するか、または手動で PDC を構成して外部のタイム ソースと同期させることをお勧めします。そうでない場合、このコンピュータはドメイン階層内の権限のあるタイム ソースとして機能します。外部のタイム ソースが構成できない場合、またこのコンピュータで使用できない場合は、NtpClient を無効にすることをお勧めします。 このメッセージは、外部のタイム ソースを使用するように注意を促すためのものであり、無視しても問題ありません。外部のタイム ソースを使用するように Windows タイム サービスを構成する外部のタイム ソースと同期するように内部のタイム サーバーを構成するには、以下の手順を実行します。
トラブルシューティングWindows タイム サービスが正しく機能するためには、ネットワーク インフラストラクチャが正常に機能している必要があります。Windows タイム サービスに関する一般的な問題には、次のようなものがあります。
Microsoft Product Support Services の電話番号一覧およびサポート料金については、次のマイクロソフト Web ページを参照してください。 http://support.microsoft.com/default.aspx?scid=fh;[LN];CNTACTMS (http://support.microsoft.com/default.aspx?scid=fh;%5Bln%5D;cntactms) 注 : Microsoft Support 担当者が、特定の更新プログラムを適用することにより問題が解決されると判断した場合、まれに通常サポート依頼にかかる料金が免除されることがあります。ただし、特定の更新プログラムの対象とならない追加の質問および問題については、通常のサポート料金が適用されます。
詳細
NTP は、異なる種類のパケットをサポートしています。通常、NTP クライアントと SNTP (Simple Network Time Protocol) クライアントは、クライアント モードの要求パケットを NTP サーバーに送信します。NTP サーバーは、サーバー モードのパケットで応答します。クライアント モードのパケットの代わりに対称アクティブ モードのパケットを NTP サーバーに送信するように W32time サービスを構成するには、コマンド プロンプトで次のコマンドを入力します。
w32tm /config /manualpeerlist:<server>,0x4 /syncfromflags:MANUAL 注 : W32time が対称アクティブ モードのパケットではなく、標準のクライアント要求を送信するように強制するには、0x8 フラグを使用します。NTP サーバーは、こうした標準のクライアント要求に対し、通常の応答を返します。
信頼できるタイム ソースの構成信頼できるタイム ソースとして構成されたコンピュータは、Windows タイム サービスのルートとして設定されます。Windows タイム サービスのルートは、ドメインに対して権限を持つサーバーであり、通常、外部の NTP サーバーまたはハードウェア デバイスから時刻を取得するように構成されます。特定のタイム サーバーを信頼できるタイム ソースとして構成して、ドメイン階層全体に時刻を転送する方法を最適化することができます。ドメイン コントローラが信頼できるタイム ソースとして構成されている場合、ネットワークへのログオン時に Net Logon サービスがそのドメイン コントローラを信頼できるタイム ソースとしてアナウンスします。他のドメイン コントローラは、同期するタイム ソースを検索するとき、信頼できるソースが利用可能な場合には、信頼できるソースを最初に選択します。手動指定の同期手動指定の同期では、コンピュータで時刻の取得先とするピアを指定することができます。ピアは 1 つのみ指定することも、一覧として複数指定することもできます。コンピュータがドメインに参加していない場合、指定したタイム ソースと同期するように手動で構成する必要があります。ドメインに参加しているコンピュータでは、デフォルトでドメイン階層から同期するように構成されています。手動指定の同期は、ドメインのフォレスト ルート、またはドメインに参加していないコンピュータで特に役立ちます。外部の NTP サーバーを手動で指定して、ドメインに対して権限を持つコンピュータと同期することにより、信頼できる時刻を使用できます。ただし、ドメインにおける時刻の正確性およびセキュリティ上の安全性が高いのは、ドメインに対して権限を持つコンピュータをハードウェア クロックと同期するように構成する方法です。ハードウェアのタイム ソースがない場合、W32time の種類は NTP として構成されます。レジストリ値の MaxPosPhaseCorrection と MaxNegPhaseCorrection の設定を変更する必要があります。タイム ソース、ネットワークの状態、セキュリティの要件によっても異なりますが、推奨する値は 15 分以下です。この要件は、時刻の同期を行うサブネットでフォレスト ルートのタイム ソースとして構成された、すべての信頼できるタイム ソースにも適用されます。これらのレジストリ値の詳細については、この資料の「Windows タイム サービスのレジストリ値」を参照してください。 注 : 手動指定のタイム ソースは、特定のタイム プロバイダが指定されていない限り、認証が行われません。このため、これらのタイム ソースは攻撃を受けやすくなります。また、認証を行うドメイン コントローラではなく、手動指定のソースとコンピュータが同期を行っている場合、2 台のコンピュータ間で同期が取れなくなる場合があります。この状況では、Kerberos 認証が失敗し、プリンタやファイルの共有など、ネットワーク認証が必要な他の操作も失敗する可能性があります。フォレスト ルートのみが外部のソースと同期を取るように構成されている場合、フォレスト内の他のコンピュータはすべて互いに同期の取れた状態になります。この構成では、再生攻撃を受けにくくなります。 利用可能なすべての同期メカニズム利用可能なすべての同期メカニズムを使用するというオプションは、ネットワーク上のユーザーにとって最も役に立つ同期方法です。この方法では、ドメイン階層との同期が可能になるだけでなく、ドメイン階層が利用できなくなった場合に、構成に応じて別のタイム ソースを提供することもできます。クライアントがドメイン階層と時刻を同期できない場合、タイム ソースは、NtpServer の設定で指定されたタイム ソースに自動的に切り替わります。ほとんどの場合、この同期方法で、クライアントに正確な時刻を提供することができます。Windows タイム サービスのレジストリ値次のレジストリ値は、HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\ の下にあります。
関連情報
Windows タイム サービスの関連情報を参照するには、以下の「サポート技術情報」 (Microsoft Knowledge Base) をクリックしてください。
816043 (http://support.microsoft.com/kb/816043/)
[HOWTO] Windows タイム サービスのデバッグ ログを有効にする方法
884776 (http://support.microsoft.com/kb/884776/)
時刻が大きく変更されないように Windows タイム サービスを構成する
321708 (http://support.microsoft.com/kb/321708/)
Windows 2000 でネットワークの診断ツール (Netdiag.exe) を使用する方法
314054 (http://support.microsoft.com/kb/314054/)
Windows XP で権限のあるタイム サーバーを構成する方法
216734 (http://support.microsoft.com/kb/216734/)
Windows 2000 で権限のあるタイム サーバーを構成する方法
Windows Server 2003 ベースのフォレストでの Windows タイム サービスの詳細については、以下のマイクロソフト Web サイトを参照してください。
http://technet2.microsoft.com/windowsserver/en/library/a0fcd250-e5f7-41b3-b0e8-240f8236e2101033.mspx この資料は以下の製品について記述したものです。
"Microsoft Knowledge Baseに含まれている情報は、いかなる保証もない現状ベースで提供されるものです。Microsoft Corporation及びその関連会社は、市場性および特定の目的への適合性を含めて、明示的にも黙示的にも、一切の保証をいたしません。さらに、Microsoft Corporation及びその関連会社は、本文書に含まれている情報の使用及び使用結果につき、正確性、真実性等、いかなる表明・保証も行ないません。Microsoft Corporation、その関連会社及びこれらの権限ある代理人による口頭または書面による一切の情報提供またはアドバイスは、保証を意味するものではなく、かつ上記免責条項の範囲を狭めるものではありません。Microsoft Corporation、その関連会社 及びこれらの者の供給者は、直接的、間接的、偶発的、結果的損害、逸失利益、懲罰的損害、または特別損害を含む全ての損害に対して、状況のいかんを問わず一切責任を負いません。（Microsoft Corporation、その関連会社 またはこれらの者の供給者がかかる損害の発生可能性を了知している場合を含みます。) 結果的損害または偶発的損害に対する責任の免除または制限を認めていない地域においては、上記制限が適用されない場合があります。なお、本文書においては、文書の体裁上の都合により製品名の表記において商標登録表示、その他の商標表示を省略している場合がありますので、予めご了解ください。" | サポート技術情報の翻訳
|
| 日本 | 国を選択する | | | マイクロソフト サイト一覧 |
サポート オンライン
|
|