W środowiskach firmowych z Active Directory błędna data systemowa wynikająca z rozładowanej baterii CMOS może dosłownie zablokować pracownikowi możliwość zalogowania się do komputera i dostęp do zasobów sieciowych. Protokół Kerberos używany do uwierzytelniania w Active Directory wymaga synchronizacji czasu między klientem a serwerem z dokładnością do 5 minut. Większa różnica blokuje uwierzytelnianie.
Nasz serwis w Warszawie często naprawia tego typu problemy w środowiskach firmowych, zazwyczaj poprzez prostą wymianę baterii CMOS.
Dlaczego Kerberos wymaga synchronizacji czasu?
Kerberos to protokół uwierzytelniania oparty na biletach (tickets) z ograniczonym czasem ważności. Każdy bilet Kerberos zawiera timestamp (sygnaturę czasową) i jest ważny tylko przez określony czas (domyślnie 10 minut na uzyskanie biletu, 10 godzin na bilet sesji). Jeśli czas stacji roboczej różni się od czasu kontrolera domeny (KDC) o więcej niż 5 minut (domyślny limit Clock Skew), serwer odrzuca bilety Kerberos jako potencjalnie nieważne – mechanizm ochrony przed atakami replay.
Objawy blokady Kerberos przez błędny czas CMOS
Typowe komunikaty błędów przy logowaniu do domeny z błędną datą: "The security database on the server does not have a computer account", "There are currently no logon servers available to service the logon request", "Your credentials could not be verified". Stacja robocza może też logować użytkownika lokalnie (z lokalnym hasłem), ale nie z kontem domenowym, co utrudnia dostęp do zasobów sieciowych.
Szybkie obejście dla administratorów IT
Tymczasowe rozwiązanie bez wymiany baterii: zaloguj się lokalnie jako administrator, ręcznie ustaw poprawną datę i godzinę (net time \\server /set /yes lub w ustawieniach systemu), wymuś synchronizację czasu (w32tm /resync). Stacja robocza powinna teraz połączyć się z domeną. Trwałe rozwiązanie to wymiana baterii CMOS.
Serwis stacji roboczych w środowiskach AD
Nasz serwis w Warszawie obsługuje stacje robocze w środowiskach Active Directory – wymiana baterii CMOS, konfiguracja czasu systemowego, weryfikacja połączenia z domeną po naprawie. Obsługujemy firmy i instytucje. Zapraszamy na szybki serwis.
