文書番号: 884776 - 最終更新日: 2009年12月17日 - リビジョン: 11.2 時刻が大きく変更されないように Windows タイム サービスを構成する方法
目次はじめにWindows オペレーティング システムには、Kerberos 認証プロトコルで使用されるタイム サービス ツール (W32Time サービス) が含まれています。Kerberos 認証は、関連するコンピューター間の時間差が最大許容範囲内であれば動作します。既定では 5 分です。または、タイム サービス ツールをオフにし、サードパーティ製のタイム サービスをインストールすることもできます。 タイム サービス ツールの目的は、Microsoft Windows 2000 またはそれ以降のバージョンの Windows オペレーティング システムを実行している組織内のすべてのコンピューターで、共通の時刻が使用されるようにすることです。 共通の時刻が適切に設定されるように、タイム サービスでは権限を制御する階層関係が使用されます。Windows ベースのコンピューターでは、既定で以下の階層構造が使用されます。
詳細時刻のロールバックを確認した結果、数日、数か月、数年、または数十年未来または過去の時刻をコンピューターが採用する場合があることが判明しました。コンピューターの時刻が先に進むか後に戻ると、次のような問題が発生することがあります。
先に進む時刻と時刻のロールバックを防ぐ方法コンピューターが再起動されて電源サイクルが再開始された時点で、BIOS はコンピューターのマザーボード上にあるローカル EPROM に時刻を保持しています。Windows が起動するとき、カーネルは BIOS から現在の時刻を取得します。この現在の時刻は、W32Time サービスが別のタイム ソースとの同期を行えるようになるまで、初期設定時刻として使用されます。Windows 32 タイム サービスは、MaxPosPhaseCorrection および MaxNegPhaseCorrection という 2 つのレジストリ エントリをサポートします。これらのエントリは、ローカル コンピューター上のタイム サービスが受け付けるサンプルがリモート コンピューターから送信されたものである場合には、サンプルを制限します。 安定した状態で実行されているコンピューターがタイム ソースからタイム サンプルを受信すると、MaxPosPhaseCorrection および MaxNegPhaseCorrection のレジストリ エントリで設定されたフェーズ修正範囲に照らしてサンプルがチェックされます。タイム サンプルが 2 つのレジストリ エントリで設定された範囲内に収まっている場合、このサンプルは受け付けられ、さらに処理されます。タイム サンプルがこれらの上限と下限の範囲内に収まっていない場合、タイム サンプルは無視され、W32Time プライベート ログ ファイルに次のようなタイム サービスのメッセージが記録されます。 *TOO BIG* 注: 正の修正幅を指定するレジストリ エントリの値を小さくすると、時刻は後に戻ります。負の修正幅を指定するレジストリ エントリの値を小さくすると、時刻は先に進みます。 Windows 2000、Windows XP、Windows Server 2003、および Windows Vista では、レジストリ エントリ MaxPosPhaseCorrection および MaxNegPhaseCorrection の既定値は次のとおりです。 0xFFFFFFF この値を使用すると、コンピューターはタイム サンプルに含まれている時刻を、正確かどうかには無関係に受信するようになります。Windows Server 2008 では、レジストリ エントリ MaxPosPhaseCorrection および MaxNegPhaseCorrection に新しい既定値が採用されています。この新しい既定値は 48 時間です。この 48 時間の値は、次のいずれかとして表すことができます。
MAX (0xFFFFFFFF) 注: MAX (0xFFFFFFFF) 以外の値に設定すると、コンピューターが再起動されたときや外部タイム ソースとの接続が中断されたときに、コンピューターが大幅に不正確な時刻を採用することを防止できます。たとえば、フォレスト内のすべてのドメイン コントローラーでレジストリ エントリ MaxPosPhaseCorrection および MaxNegPhaseCorrection が 48 時間に設定されている場合を考えます。いずれか 1 つのドメイン コントローラーで 48 時間を超える異常な時刻のずれが発生した場合、レジストリ エントリ MaxPosPhaseCorrection および MaxNegPhaseCorrection に 48 時間という値が設定されているので、他のコンピューターで同じ大幅な時刻のずれは生じません。したがって、管理者による調査と修正処置が行われるまで、同期していないコンピューターを他のコンピューターから切り離しておくことができます。時間の正確さは、フォレスト ルートのプライマリ ドメイン コントローラー (PDC) では特に重要です。PDC はドメインのルートのタイム ソースであるため、PDC 上で誤った時刻の変更が行われると、ドメイン全体の時間がずれる可能性があります。PDC でのフェーズ修正幅に制限を設定し、フォレストの他のドメイン コントローラーで新しい時間が受け付けられないようにすることができます。 既定値が 5 分や 15 分ではなく 48 時間になっている根拠は、次のとおりです。
オペレーティング システムのバージョンおよびコンピューターの役割に応じた具体的な推奨事項について、以下のセクションで説明します。 Windows XP Professional およびすべてのバージョンの Windows Server 2003ドメイン サーバーフォレストのルート PDC (権限のあるタイム サーバー)権限のあるタイム サーバーの時刻は、ハードウェアから供給されるように構成することを強くお勧めします。権限のあるタイム サーバーをインターネット上のタイム ソースと同期するように構成した場合、認証は行われません。次のレジストリ エントリを再構成する必要があります。
ドメイン コントローラーおよびドメイン内部のメンバー サーバーレジストリ エントリ MaxPosPhaseCorrection および MaxNegPhaseCorrection の既定値は 0xFFFFFFFF です。この既定値は、"時刻の変更をすべて受け付ける" ことを指定します。すべてのドメイン コントローラーで、この値を 48 時間に設定することをお勧めします。時間が重要なアプリケーションを実行しているメンバー サーバーにも、48 時間という値を設定できます。注: これらのレジストリ エントリの詳細については、この資料の「Windows Server 2003 および Windows XP のタイム サービスのレジストリ エントリ」を参照してください。 スタンドアロン クライアントレジストリ エントリ MaxPosPhaseCorrection および MaxNegPhaseCorrection の既定値は 54,000 秒 (15 時間) です。セキュリティ上の最適な対応方法として、この既定値を小さくすることをお勧めします。また、タイム ソース、ネットワークの状態、ポーリング間隔、およびセキュリティの要件に応じて、この値を 3600 秒 (1 時間) またはそれよりも小さい値に設定することをお勧めします。Windows Server 2003 および Windows XP のタイム サービスのレジストリ エントリ元に戻す
元に戻す
元に戻す
元に戻す
http://technet.microsoft.com/ja-jp/library/cc773061(WS.10).aspx
(http://technet.microsoft.com/ja-jp/library/cc773061(WS.10).aspx)
グループ ポリシー オブジェクト (GPO) に定義された既定の Windows タイム サービスのパラメーター値が、Windows Server 2003 ベースのドメイン コントローラーのレジストリに定義された既定値と一致しない場合があります。GPO を使用して、Windows Server 2003 ドメイン コントローラーに MaxPosPhaseCorrection および MaxNegPhaseCorrection の値を展開する場合は、レジストリにある他の Windows タイム サービス パラメーターの値が GPO によって変更されないようにしてください。ドメイン コントローラーの既定のレジストリ値と一致するように、GPO の他の Windows タイム サービス パラメーター値も変更することが必要になる場合があります。すべてのバージョンの Windows 2000 Service Pack 4 (SP4)ドメイン サーバーフォレストのルート PDC (権限のあるタイム サーバー)権限のあるタイム サーバーの時刻は、ハードウェアから供給されるように構成することを強くお勧めします。権限のあるタイム サーバーがインターネット上のタイム ソースと同期するように構成した場合、手動モードでの認証は行われません。レジストリ エントリ MaxAllowedClockErrInSecs の設定を変更する必要があります。既定値は 43,200 です。推奨される値は、タイム ソース、ネットワークの状態、およびセキュリティの要件に応じて、900 秒 (15 分) またはそれよりも小さい値です。この値は、ポーリング間隔にもよっても異なります。ポーリング間隔の値は、24 時間おきに 1 時間に設定することをお勧めします。注: このレジストリ エントリの詳細については、この資料の「Windows Server 2000 SP 4 のレジストリ エントリ」を参照してください。 ドメイン コントローラーおよびドメイン内部のメンバー サーバードキュメントの種類は NT5DS です。タイム サービスはドメイン階層から同期を行い、時刻の変更をすべて受け付けます。NT5DS では時刻の変更幅を考慮することなく時刻の変更がすべて受け付けられるため、時刻の同期を行うサブネット内に、フォレスト ルートの信頼できるタイム ソースを確立することが非常に重要です。注: NT5DS の値は、同期の種類がレジストリ エントリから取得されることを示します。 スタンドアロン クライアントレジストリ エントリ MaxAllowedClockErrInSecs の既定値は 43,200 秒 (12 時間) です。セキュリティ上の最適な対応方法として、この既定値を小さくすることをお勧めします。タイム ソース、ネットワークの状態、ポーリング間隔、およびセキュリティの要件に応じて、この値を 3600 秒 (1 時間) またはそれよりも小さい値に設定することをお勧めします。Windows Server 2000 SP 4 のレジストリ エントリ元に戻す
この資料は以下の製品について記述したものです。
"Microsoft Knowledge Baseに含まれている情報は、いかなる保証もない現状ベースで提供されるものです。Microsoft Corporation及びその関連会社は、市場性および特定の目的への適合性を含めて、明示的にも黙示的にも、一切の保証をいたしません。さらに、Microsoft Corporation及びその関連会社は、本文書に含まれている情報の使用及び使用結果につき、正確性、真実性等、いかなる表明・保証も行ないません。Microsoft Corporation、その関連会社及びこれらの権限ある代理人による口頭または書面による一切の情報提供またはアドバイスは、保証を意味するものではなく、かつ上記免責条項の範囲を狭めるものではありません。Microsoft Corporation、その関連会社 及びこれらの者の供給者は、直接的、間接的、偶発的、結果的損害、逸失利益、懲罰的損害、または特別損害を含む全ての損害に対して、状況のいかんを問わず一切責任を負いません。（Microsoft Corporation、その関連会社 またはこれらの者の供給者がかかる損害の発生可能性を了知している場合を含みます。) 結果的損害または偶発的損害に対する責任の免除または制限を認めていない地域においては、上記制限が適用されない場合があります。なお、本文書においては、文書の体裁上の都合により製品名の表記において商標登録表示、その他の商標表示を省略している場合がありますので、予めご了解ください。" | サポート情報 その他のサポートサイトコミュニティ技術サポート窓口サポート技術情報の翻訳
|
先頭へ戻る
