域控从备份还原之后时间不同步，Kerberos 认证跟着失败，客户端都登不了域，要按什么顺序把时间和认证救回来？

直接给结论：先修时间，再修认证，顺序不能反。Kerberos 票据对时间差的容忍只有五分钟，域控时间一偏，全公司的登录票据全部判废——所以别急着动账号和加域，先把时间的源头拨正，认证自己就回来了大半。这件事的排查纪律是「一次只动一层」：时间层全绿了再动认证层，两层混着修，问题会互相掩护。

第一步：把 PDC 的时间拨正

域里时间以 PDC 模拟器为源头，其他域控和客户端层层跟它对。还原带回来的旧时间，先在 PDC 上改：

w32tm /query /status    # 看当前时间源与偏差
w32tm /config /syncfromflags:manual /manualpeerlist:"时钟源地址" /reliable:yes
w32tm /config /update
w32tm /resync

时间源指向可信上级——内网时钟设备或公共服务器的授时服务，别让它继续跟着被还原过的旧配置走。能出网的直接指公共授时，安全要求严的内网走专用时钟源。源一旦定下别频繁改，时间跳变比时间慢更伤认证。核对无误后强制同步一次。

第二步：其他域控与客户端跟上

第二台域控与成员机依次执行 w32tm /resync，或等自动同步周期。时间到位的判断标准看偏差值——秒级以内算过关，分钟级还要再来一轮。客户端数量多时不用挨个跑，层级同步几分钟内会铺开，个别顽固的重启 Windows Time 服务再同步一次。核时间别只看数值——时区错配是还原后的另一个常客，时间「数值对、时区错」照样差好几个小时，时区和时间一起核。

第三步：修认证的残留

时间对了登录还不行的，是机器账户密码在还原后错位：异常客户端先重启试一次——不少机器重启后凭缓存的凭据自己恢复；仍不行的，在该机器上重置与本域的机器账户密码（netdom 重置或退域重加）。域控侧重启 Netlogon 服务让票据服务重新就位。先抓典型一台修通，其余照抄，别全公司并行乱试。修的过程中把命令和现象记下来，处理完的机器打钩销号，别漏掉几台角落里不常开机的老机器。

把教训写进预案

域控还原本来就有「权威/非权威」两种姿势，时间错乱是带上旧状态的标准副作用——预案里把「还原后先核时间源」写成第一步，下一次就不会全公司陪跑。时间源配置要留档，交接时单独点一遍。还原演练纳入年度安排：拿备机或虚拟机演练一次完整还原加时间修复，预案里每一步的耗时都实测过，真出事才不是纸上谈兵。

贵州诚鑫致达科技做服务器与域环境运维时，时间源配置都单独核对并留档——五分钟的偏差在纸面上不起眼，落到登录上就是全公司卡在门外。

企业存储选型参考｜贵州诚鑫致达

做机房存储、虚拟化或监控归档，群晖机型参考：FS6400（全闪存阵列） · SA3610 · SA3410。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。湖南长沙企业级存储与数据备份，IT 集成服务。