NTP Zeitserver in Domäne

Ich glaube er meinte den Domänen Controller. Das musst jedem DC separat eintragen. Die Clients holen es sich ja dann automatisch vom DC

Nicht ganz richtig. Die DCs holen ihren Zeitgeber automatisch von der PDC-Emulator Rolle ihrer eigenen oder ihrer übergeordneten Domäne. Die Zeitsynchronisierung mit dem NTP-Server ist nur eine winzige Query-Abfrage beim Starten des DC. Zwischendurch wird aber auch nochmal ab und zu synchronisiert.
Die eben von mir benannten Wege dienen dem Ändern des NTP-Servers sollte er vom PDC-Emulator abweichen; z.B. ein NTP-Server aus dem Internet.

Die Clients synchronisieren, wie du schon sagtest, sich beim Starten mit ihrem Logon-Server, sprich einem DC, nicht mit dem NTP-Server direkt.

How the Windows Time Service Works (Bild)

Man muss nichts machen. Alles geschieht automatisch.

Nochmal in Kürze:

DC mit PDC-Emulator ist Zeitgeber. Wenn er einer untergeordneten Domäne angehört synchronisiert er sich mit dem übergeordneten PDC-Emulator. Wenn nicht gibt seine Systemzeit die Domänenzeit vor.
Alle anderen DC in der Domäne synchronisieren ihre Zeit automatisch vom PDC-Emulator. Alle Clients synchronisieren ihre Zeit automatisch von ihrem Logon-Server (DC). Es ist also hierarchisch aufgebaut.

Nur wenn du einen NTP-Server aus dem Internet haben möchtest, musst du das separat einstellen. Wie gesagt am besten über DHCP-Bereichsoptionen, dann bekommt es jeder mit. NTP-Server ist Option 42 (hehe 42).

Die Domänenzeit darf nicht mehr als 15 Minuten abweichen, da sonst der Zeitdienst w32time streikt. Die Zeit darf aber auch keine 5 Minuten abweichen, da du sonst üble Schwierigkeiten mit der Kerberos-Authentifizierung bekommst.

Schneller gelesen als geschrieben

http://blog.itforum-saar.de/2013/04/windows-server-2008r2-zeitsynchroni ...

Hi Winary,
Du hast eigentlich alles richtig geschrieben, aber der von Dir verlinkte Artikel ist viel zu unsauber. Er meint das richtige, schreibt es aber nicht.

Um es kurz zu machen:
Man kann, wenn man will, alle Member Computer eines AD's mit einer extrenen Zeitquelle synchronisieren. Sinnvoll ist das nicht.
Es reicht, den DC aus der Stammdomäne, welcher in dieser die PDC-Emulator Funktion inne hat, mit einer externen Quelle abzugleichen. Alle Microsoft Member Computer, egal ob DC oder nicht, gleichen sich über die Standard-Mechanismen (wie von winary beschrieben) ab.
Viel wichtiger ist es, an alle anderen Geräte im Netzwerk zu denken, welche keine Microsoft Clients in einem AD sind! Diese sollte man entweder auch von dieser externen Zeitquelle abgleichen oder auch von der internen --> dem PDC-Emulator der Stammdomäne. Für letzteres muss man den DC noch präparieren.
Ich denke da Drucker, NAS usw.

https://technet.microsoft.com/de-de/library/cc794823%28v=ws.10%29.aspx
https://support.microsoft.com/de-de/kb/816042

E.

Ich wollte ihm auch eigentlich nur den Befehl zeigen zum manuell Ändern des Zeitservers; eine GUI gibt es ja nicht. Da ich die Quelle sowieso hätte schreiben müssen habe ich auch nur sie geschrieben. Was wäre denn das Richtige, das dort nicht geschrieben ist? An die Firewall-Regel z.B. hätte ich gar nicht mehr gedacht. Stehe gerade auf dem Schlauch.

An alle Nicht-Windowsclients muss man natürlich auch denken. Deswegen bevorzuge ich immer die DHCP-Option, da jedes DHCP-fähige Gerät auch damit umgehen kann; also auch Nicht-Windowsclients wie Drucker, etc.

Grüße