我有两个在HyperV上运行的AD虚拟机。 AD1（PDC）与pool.ntp.org同步，AD2（BDC）与AD1同步以获得正确的时间。 两者都是Windows Server 2008服务器。
这工作得很好，但是最近似乎服务器从AD1中退出，并使用AD2进行身份validation，即使AD1已启动并正在运行。
我试图closuresAD2并重新启动域上的所有服务器，强制他们validation到AD1，它工作正常。 但是每当我把AD2放到networking上时，服务器在重启时仍然会对AD2进行authentication。
这种行为对我来说是未知的，而且我很难解决这个问题。
这与时间同步没有任何关系。 你的时间同步configuration似乎是正确的，你已经在你的问题中陈述。 拥有PDCeangular色的DC应该与可靠的外部时间源同步。 所有其他域成员应与域层次结构同步。 这包括所有其他域控制器。
停止称他们PDC和BDC。 这个术语不再有效，暗示着你对AD的理解并不完全清楚。 AD使用Multiple-Master模型（称为Flexible Single Master Operations或FSMO），您可以在此链接阅读该模型。 – https://support.microsoft.com/en-us/kb/197132
您的域名客户的行为完全如预期。 AD域客户端可以对任何可用的域控制器进行身份validation。 你既不应该试图控制这种行为，也不要劝阻它。 事实上，你认为这是一个需要解决的问题是另一个线索，你真的没有很好的理解广告。 它可能会帮助你做一些深入的阅读这个问题。
如果AD2适合作为一个好的时间源，我不认为有必要改变拓扑结构。
如果AD2本身有不正确的时间，因此不是一个好的select，我会build议确保AD2有正确的时间（在复制解决客户端不正确的时间）。
我们看到了我们的客户（其中一个DC实际上是不正确的时间）有关的东西。 似乎ad2上的时间服务仍然是宣告为authorative。
您可以在ad2上设置时间服务器，以使其不再被视为可靠的时间服务器。 http://blogs.msdn.com/b/w32time/archive/2008/05/29/to-be-reliable-or-not-to-be-reliable.aspx
否则您可能会使用GPO明确指定时间服务器 – 因为我个人更喜欢第一个select