Настройка авторитетного сервера времени в Windows Server

В этой статье описывается настройка службы времени Windows и устранение неполадок при неправильной работе службы времени Windows.

Оригинальная версия продукта: Основные версии Windows Server 2012 Standard, Windows Server 2012
Исходный номер КБ: 816042

Чтобы настроить внутренний сервер времени для синхронизации с внешним источником времени, используйте следующий метод:

Чтобы настроить PDC в корне леса Active Directory для синхронизации с внешним источником времени, выполните следующие действия:

Измените тип сервера на NTP. Для этого выполните следующие действия:

Выберите > запуск, введите regedit, а затем выберите ОК.

Найдите и выделите следующий подраздел реестра:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Parameters

В области справа щелкните правой кнопкой мыши введите, а затем выберите Изменение.

В изменить значение введите NTP в поле данных Value, а затем выберите ОК.

Установите AnnounceFlags 5. Для этого выполните следующие действия:

Найдите и выберите следующий подкай реестра: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config

В области справа щелкните правой кнопкой мыши AnnounceFlags и выберите Изменение.

В редактировании значения DWORD введите 5 в поле данных Значение, а затем выберите ОК.

• Если авторитетный сервер времени, настроенный для использования значения 0x5, не синхронизируется с сервером времени вверх по течению, клиентский сервер может неправильно синхронизироваться с авторитетным сервером времени при возобновлении синхронизации времени между авторитетным сервером времени и сервером времени вверх по AnnounceFlag течению. Поэтому, если у вас плохое сетевое подключение или другие проблемы, которые могут привести к сбою синхронизации времени авторитетного сервера на сервере выше по течению, установите значение 0xA, а не 0x5 AnnounceFlag .
• Если авторитетный сервер времени, настроенный для использования значения 0x5 и синхронизации с сервером времени вверх по течению с заданным фиксированным интервалом, клиентский сервер может неправильно синхронизироваться с авторитетным сервером времени после перезапуска авторитетного сервера AnnounceFlag SpecialPollInterval времени. Поэтому, если настроить авторитетный сервер времени для синхронизации с сервером NTP вверх по течению с фиксированным интервалом, указанным в, установите значение 0xA, а не SpecialPollInterval AnnounceFlag 0x5.

Включить NTPServer. Для этого выполните следующие действия:

Найдите и выделите следующий подраздел реестра:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\TimeProviders\NtpServer

В области справа щелкните правой кнопкой мыши Включено, а затем выберите Изменение.

В изменить значение DWORD введите 1 в поле данных Значение, а затем выберите ОК.

Укажите источники времени. Для этого выполните следующие действия:

Найдите и откройте следующий подраздел реестра:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Parameters

В области справа щелкните правой кнопкой мыши NtpServer и выберите Изменение.

В редактировании значения введите одноранговые значения в поле данных Value, а затем выберите ОК.

Peers — это местоодатель для списка одноранговых аналогов, из которых компьютер получает отметки времени. Каждое имя DNS, которое перечислены, должно быть уникальным. Вы должны 0x1 до конца каждого имени DNS. Если вы не 0x1 до конца каждого имени DNS, изменения, внесенные в шаге 5, не вступят в силу.

Настройка параметров коррекции времени. Для этого выполните следующие действия:

Найдите и нажмите следующий подкай реестра: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config

В области справа щелкните правой кнопкой мыши MaxPosPhaseCorrection и выберите Изменение.

В изменить значение DWORD щелкните, чтобы выбрать десятичной знак в базовом окне.

В редактировании значения DWORD введите TimeInSeconds в поле данных Value, а затем выберите ОК.

TimeInSeconds — это местоодатель для разумного значения, например 1 часа (3600) или 30 минут (1800). Выбранное значение зависит от интервала опроса, состояния сети и внешнего источника времени.
По умолчанию значение MaxPosPhaseCorrection составляет 48 часов в Windows Server 2008 R2 или более поздней части.

Найдите и откройте следующий подраздел реестра:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config

В области справа щелкните правой кнопкой мыши MaxNegPhaseCorrection и выберите Изменение.

В изменить значение DWORD щелкните, чтобы выбрать десятичной знак в базовом окне.

В редактировании значения DWORD введите TimeInSeconds в поле данных Value, а затем выберите ОК.

TimeInSeconds — это местоодатель для разумного значения, например 1 часа (3600) или 30 минут (1800). Выбранное значение зависит от интервала опроса, состояния сети и внешнего источника времени.
По умолчанию значение MaxNegPhaseCorrection составляет 48 часов в Windows Server 2008 R2 или более поздней части.

Закройте редактор реестра.

В командной подсказке введите следующую команду для перезапуска службы Времени Windows и нажмите кнопку Ввод:

Устранение неполадок

Чтобы служба Времени Windows функционировала правильно, инфраструктура сети должна функционировать правильно. Наиболее распространенные проблемы, влияющие на службу Времени Windows, включают следующие:

• Существует проблема с подключением TCP/IP, например с мертвым шлюзом.
• Служба разрешения имен работает неправильно.
• В сети возникают большие задержки громкости, особенно если синхронизация происходит по ссылкам широкой сети WAN с высокой задержкой.
• Служба Времени Windows пытается синхронизироваться с неточными источниками времени.

Рекомендуется использовать Netdiag.exe для устранения проблем, связанных с сетью. Netdiag.exe входит в пакет средств поддержки Windows Server 2003. Полный список параметров командной строки, которые можно использовать с помощью Netdiag.exe. Если проблема еще не решена, можно включить журнал отлажки службы Windows Time. Так как журнал отключки может содержать очень подробные сведения, рекомендуется обращаться в службы поддержки клиентов Майкрософт при включив журнал отработки отработки службы Windows Time.

В особых случаях плата, которая обычно взимается за вызовы поддержки, может быть отменена, если специалист службы поддержки Майкрософт решит проблему с определенным обновлением. Обычные расходы на поддержку будут применяться к дополнительным вопросам и вопросам поддержки, которые не отвечают требованиям для конкретного обновления.

Дополнительные сведения

Windows Server включает W32Time — средство службы времени, которое требуется протоколом проверки подлинности Kerberos. Служба Windows Time позволяет использовать общее время для всех компьютеров в организации, которая работает с операционной системой Microsoft Windows 2000 Server или более поздними версиями.

Для обеспечения надлежащего общего использования времени служба Времени Windows использует иерархические отношения, контролирующие полномочия, а служба времени Windows не позволяет использовать циклы. По умолчанию компьютеры на базе Windows используют следующую иерархию:

• Все клиентские настольные компьютеры назначают контроллер домена проверки подлинности в качестве своего связанного партнера по времени.
• Все серверы-члены следуют одному и том же процессу, что и клиентские настольные компьютеры.
• Все контроллеры домена в домене назначают основного мастера операций контроллера домена (PDC) в качестве своего связанного партнера по времени.
• Все мастера операций PDC следуют иерархии доменов при выборе своего связанного партнера по времени.

В этой иерархии мастер операций PDC в корне леса становится авторитетным для организации. Настоятельно рекомендуется настроить авторитетный сервер времени для получения времени из аппаратного источника. При настройке авторитетного сервера времени для синхронизации с источником времени в Интернете проверка подлинности не происходит. Мы также рекомендуем уменьшить параметры коррекции времени для серверов и автономных клиентов. Эти рекомендации обеспечивают большую точность и безопасность вашего домена.

Ссылки

Дополнительные сведения о службе Windows Time см. в этой версии:

Дополнительные сведения о службе времени Windows см. в см. в w32Time.

Организация сервера резервных копий Time Machine для клиентских систем macOS с централизованным хранилищем на системах macOS, Linux Debian 10 Buster или Windows Server 2012 R2

На предприятии с большим количеством компьютеров на базе ОС Apple macOS может возникнуть необходимость развёртывания централизованного сервера для хранения резервных копий на базе пакета Time Machine с интеграцией в механизмы доменной авторизации на базе каталога Active Directory (AD). В данной заметке мы рассмотрим три варианта организации сетевого ресурса (SMB) под задачу резервного копирования компьютеров macOS, а также поговорим о разных вариантах настройки клиентов macOS для подключения к такому ресурсу.

Сразу стоит отметить, что по причине появления Apple File System (APFS) протокол Apple Filling Protocol (AFP) стал считаться устаревшим, поэтому рассматривать AFP в контексте данной заметки мы не будем.

Организация сетевого ресурса для Time Machine на macOS

С тех пор, как Apple отказались развивать «серверные» продукты в пакете Server.app оставив только Profile manager, многие стали задаваться вопросом, а как же сейчас организовывать Time Machine Server?

На мой взгляд, Apple сделали лучше, чем было ранее, потому что перенесли возможность организации сетевого хранения резервных копий macOS в базовые настройки ОС, и поэтому теперь не требуется ничего устанавливать дополнительно.

Рассмотрим пример создания сетевого каталога для Time Machine на macOS Mojave.

1. Откроем настройки и перейдём в общий доступ;

2. Добавим каталог, который будет использоваться для Time Machine;

3. Вызываем контекстное меню на каталоге и откроем «дополнительные параметры…»

Разрешим использовать каталог для резервного копирования Time Machine.

Если macOS введён в домен, то на каталог можно применить необходимую группу безопасности AD для ограничения доступа к резервным копиям.

Общие ресурсы для Time Machine не поддерживаются на разделах APFS.

Организация сетевого ресурса для Time Machine на Linux Debian 10

Поддержка Apple Time Machine появилась в Samba 4.8, но в репозитории Debian 9 имеется только версия 4.5, поэтому необходимо либо собирать Samba в ручную, либо установить пред-релизную сборку Debian 10 Buster, в репозитория которого Samba 4.9.5.

В нашем примере на базе хоста виртуализации с Windows Server 2012 R2 разворачивается виртуальная машина Hyper-V Gen2 c гостевой ОС Debian 10 Buster. Описанная далее процедура базовой настройки Debian 10 не имеет прямого отношения к нашей задаче резервного копирования и добавлена для полноты описания. Поэтому знатоки Debian могут переместиться в конец этого раздела, где идёт речь о создании сетевого ресурса на базе Samba.

Итак, выполним вход под супер-пользователем и начнём настраивать систему.

Первым делом необходимо настроить сеть:

Если в сети не используется IPv6, то отключим его:

Если для доступа в Интернет используется прокси-сервер, настроим его, чтобы была возможность устанавливать и обновлять пакеты:

Настоим репозитории Debian 10:

Установим обновления пакетов:

Установим пакеты, необходимые в рамках нашей задачи:

Настроим sudo, разрешив всем пользователям повышающим привилегии, использовать ранее заданные переменные с настройками прокси:

Разрешим пользователю user1 выполнять повышение привилегий. Добавим пользователя user1 в группу sudo

Теперь можно завершить сеанс пользователя root и в дальнейшем пользоваться учётной записью user1.

Так как система будет добавлена в домен, необходимо, чтобы на нашем сервере с Debian 10 было правильное время. Настроим NTP-клиент на получение времени с контроллеров домена:

Добавляем в файл записи о NTP-серверах:

Настраиваем поддержку Kerberos под свой домен AD:

Настраиваем конфигурацию SSSD под свой домен AD:

Установим права на конфигурационный файл

Система ещё не в домене, поэтому работа службы sssd невозможна, отключим и остановим её, а так же выполним очистку кэша:

Отключаем и останавливаем nmbd:

Выполняем настройку Samba:

Проверяем корректность настроек

Система выдаст предупреждение о лимите открытых файлов который в Linux и Windows отличается

Для того, чтобы изменения применялись после каждой загрузки сервера, необходимо отредактировать конфигурацию системы, добавив строки:

Выполним настройку автоматического создания каталога пользователя:

Разрешим выполнение скрипта:

Попробуем получить билет Kerberos пользователя, учётные данные которого будут использоваться для ввода сервера в домен:

Проверим билет Kerberos:

Присоединим сервер к домену, используя ранее полученный билет Kerberos :

Получим и проверим билет Kerberos для учётной записи сервера:

Если ввод в домен осуществлялся не с правами учётной записи администратора домена, то для учётной записи сервера необходимо отдельно зарегистрировать запись SPN, которая требуется для работы протокола Kerberos. Сделать это можно на любой Windows-системе, присоединённой к домену следующей командой:

Включаем и запускаем SSSD:

Теперь настроим Linux для работы с доменными пользователями, чтобы в дальнейшем использовать свои административные учётные записи Active Directory для администрирования сервера.

Автоматическое создание домашнего каталога для доменных пользователей:

Настройка PAM для ограниченного входа в систему группам пользователей:

Установим права на файл:

Опишем в PAM использование нашего файла с перечнем разрешённых логинов/групп:

Настройка sudo для группы доменных пользователей:

Настройка PAM для SSH-подключений:

Настроим конфигурацию SSH-сервера:

Изменим следующие строки:

Перезапустим службу SSH-сервера:

Напоследок подключим диск, на котором будут хранится резервные копии.

Посмотрим, какой диск виртуальной машины доступен

В нашем примере будет использоваться диск /dev/sdb . Выполним на этом диске разметку:

n — создаём новый раздел

p — проверяем результат

w — записываем изменения

Форматируем созданный раздел в файловую систему ext4:

Создаём точку монтирования:

Узнаём необходимый для монтированная идентификатор UUID диска:

Настраиваем авто-монтирование диска при каждой загрузке сервера:

Применяем изменения в fstab

Установим доменную группу на каталог резервных копий:

Перезапустим службу Samba:

Организация сетевого ресурса для Time Machine на Windows Server

По умолчанию, Time Machine не поддерживает SMB ресурсы организованные на Windows Server, так как Windows Server не имеет расширения F_FULLSYNC. Поэтому мы вручную создадим, так называемый (в терминологии локализованной версии macOS), «рассеянный» (sparsebundle) пакетный образ диска и разместим его на этом сетевом ресурсе.

Подключим сетевой ресурс и создадим на нём рассеянный пакетный образ диска с помощью Disk Utility.app

• Имя файла: имя хоста
• Имя раздела: Резервные копии Time Machine
• Размер устанавливаем в зависимости от потребностей
• Файловая система: Mac OS Extended (Чувствительный к регистру символов, журналируемый)
• Шифрование: устанавливаем если мы хотим иметь зашифрованную резервную копию
• Раздел: Одиночный раздел — Схема разделов GUID
• Формат: Рассеянный пакетный образ диска

Создать образ sparsebundle можно и с помощью Terminal.app:

Отдельное внимание можно уделить ключу » -imagekey sparse-band-size= «, который по умолчанию имеет значение 16384 . С помощью него можно регулировать размер части диска, с учётом 512 байт на сектор. То есть по умолчанию размер части равен 8 Мб, а в примере 512 Мб.

После создания образа дисковой утилитой, он автоматически подключится в систему. Теперь необходимо включить на этом образе параметр enableOwnership, для того, чтобы Time Machine мог управлять разрешениями.

Откроем Terminal.app и узнаем каким устройством подключен образ:

Включим управление владением

Проверить состояние параметра можно как в терминале, так и в дисковой утилите

В Disk Utility.app информация об этом параметре «Владельцы включены» обновится только после переподключения образа. Однако, необходимо иметь ввиду, что данный параметр хранится на той системе, где он был включен и находится в файле /var/db/volinfo.database . Это можно проверить, но сперва узнаем идентификатор тома:

Затем прочтём файл

Для того, чтобы метод работал, необходимо заранее монтировать образ в систему при входе пользователя, создадим приложение на Apple Script:

Экспортируем его как «Программа», затем добавляем в автозагрузку при входе пользователя.

Для подобного метода резервного копирования на sparsebundle-диск можно использовать и другие и другие сетевые ресурсы, например NFS.

Подключение сетевого ресурса к Time Machine

При относительно небольшом количестве клиентов подключения можно выполнить вручную, используя утилиту терминала tmutil.

Если подключаемся к сетевому расположению, то пример команды будет выглядеть так:

Несмотря на то, что клиентская машина с macOS в домене и у нас имеется сквозная аутентификация, здесь необходимо будет явным образом указать имя пользователя и пароль.

Если подключаемся к смонтированному HOSTNAME.sparsebundle на сетевом ресурсе:

Посмотреть информацию о существующих расположениях Time Machine:

Если в компании много компьютеров на базе macOS, то настраивать каждый из них вручную будет не совсем интересно. В таком случае для массовой настройки можно воспользоваться Profile Manager.

В группе macOS, секции Login Items, настроим аутентификацию пользователя на сетевом ресурсе.

В секции Time Machine укажем путь до сетевого каталога и параметры резервного копирования.

Для вступления параметров в силу необходим релогин. После применения параметров, пользователь сможет управлять только исключениями каталогов из резервного копирования.

Проверка восстановления из резервной копии

После того, как создана хотя бы одна резервная копия, мы можем проверить восстановление файлов.

Перейдём в каталог, в котором хотим выполнить восстановление, вызовем spotlight сочетанием клавиш ⌘+пробел и откроем Time Machine. Остаётся выбрать файлы или каталоги, которые необходимо восстановить.

Подобным образом можно восстанавливать удалённые письма в приложении Mail.app.

Для восстановления операционной системы после критических сбоев, замены HDD/SSD или переноса конфигурации на новый Mac, необходимо воспользоваться macOS Recovery. После загрузки macOS Recovery переходим в Time Machine, выполняем подключение к «Другой сервер», прописываем сетевой путь до каталога с резервными копиями:

При необходимости, система запросит учетные данные для подключения к сетевому ресурсу и ключ для зашифрованной резервной копии.