您应该确保系统时间的准确，并且确保组织机构中所有的服务器都使用同样的时间源。Windows Server 2003 的 W32Time服务可以在运行于一个Active Directory域中的Windows Server 2003 和Microsoft Windows XP计算机之间实现时间同步。

在一个域中，W32Time服务能够让基于Windows Server 2003的客户机时钟与域控制器同步。这对于Kerberos V5身份验证协议以及NTLMv2 的正常工作都是必需的。许多Windows Server?家族的组件为了获得正确的功能，都必须依赖准确同步的时钟。如果客户机上的时钟没有进行同步，Kerberos V5的身份验证协议将可能错误地把一个用户的登录判断为入侵企图，从而拒绝该用户的访问。

时间同步的另外一个重要的好处是：它可以让您明白企业所有客户机上所发生事件的关联性。计算环境中的时钟同步使得客户机事件具有统一的时间顺序，通过分析这些事件的顺序，您可以正确了解企业中一些操作的最终结果是成功还是失败。

Kerberos是麻省理工大学（MIT）开发的网络身份验证协议。这个协议可以验证试图登录到网络的用户的身份， 并使用密钥加密系统对他们的通信进行加密。

W32Time使用网络时间同步协议（Network Time Protocol，NTP）进行时钟同步。在一个 Windows Server 2003 森林中，时间同步的过程如下：

在森林根域中，主域控制器（PDC）竞争优胜者将成为组织机构的权威时间源。

森林中其它域的PDC竞争优胜者 按照域的层次结构，发起PDC竞争，以便进行时间同步。

一个域中的所有域控制器将该域中的PDC竞争优胜者视为本地时间伙伴，与它进行时间同步。

所有的成员服务器和客户桌面计算机将它们的身份验证域控制器视为本地时间伙伴。

为了确保时间的准确，森林根域的PDC竞争优胜者可以与一个外部的NTP时间服务器同步。然而，这样做必须开放防火墙的相应端口。NTP使用的是UDP端口123。做出这种选择之前，请先权衡相关的配置修改带来的好处以及潜在的安全风险。

内部时间源与外部时间源同步

1.打开命令提示符。

2.键入下列命令，其中PeerList 是以逗号进行分割的目标时间源的DNS名称或者IP地址清单。

w32tm /config /syncfromflags:manual /manualpeerlist:PeerList

3.更新类型：

w32tm /config /update.

4.检查 事件日志。如果计算机无法访问指定的服务器，该过程将失败，事件日志 中将出现相关记录。

通常，该过程被用来将内部网络身份验证时间源与一个十分精确的外部时间源进行同步。然而，这个过程可以在任何运行Windows XP或者Windows Server 2003家族成员的计算机之上进行。

许多情况下，没有必要将所有的服务器都与一个外部时间源进行同步，因为它们可以与同一个内部时间源进行同步。

如果您的网络中有运行Windows 98 或者 Windows NT 4.0操作系统的计算机，对于它们的时钟，可以使用下列办法进行同步——在登录脚本中加入下列内容，其中是您的网络中的域控制器：

net time /set /yes

这个命令的运行可以使得这些计算机同域中的其它计算机进行时钟同步。

注意：为了获得准确的登录分析，网络中运行非Windows操作系统的计算机也需要与 Windows Server 2003 PDC 竞争优胜者进行时钟同步