Configurar fuente de tiempo externa en el emulador PDC: la solución al desfase de reloj en Active Directory

Un administrador de sistemas ha planteado una duda recurrente en el mundo de Active Directory: su dominio no tiene configurada una fuente de tiempo externa y los portátiles muestran una hora con un minuto de retraso respecto a los móviles. La solución pasa por asignar una fuente de tiempo externa al emulador PDC.

En un dominio de Active Directory, el emulador PDC (Primary Domain Controller) es el actor principal del servicio de tiempo. Todos los clientes y servidores sincronizan su reloj a partir de él. Si el propio PDC no está sincronizado con una fuente de tiempo confiable, todo el dominio arrastra el desfase. La configuración por defecto en muchas instalaciones deja el servicio de tiempo en 'Free-running System Clock', es decir, sin fuente externa. Eso explica exactamente el síntoma descrito.

Para resolverlo se debe configurar el emulador PDC para que sincronice con un servidor NTP externo. En la práctica, basta con ejecutar en un símbolo de sistema con privilegios elevados:

w32tm /config /manualpeerlist:"pool.ntp.org" /syncfromflags:manual /reliable:YES /update
net stop w32time && net start w32time
w32tm /resync

El primer comando fija la lista de servidores manuales, marca el equipo como fuente de tiempo confiable y actualiza la configuración. Los siguientes reinician el servicio y fuerzan una resincronización inmediata.

Es importante recordar que en un dominio con varios controladores de dominio, solo el emulador PDC debe sincronizar con una fuente externa. Los demás controladores sincronizan con el PDC, y configurar fuentes externas en todos podría generar conflictos y bucles de sincronización. Si el PDC se cambia por un fallo, el nuevo rol hereda la configuración, pero conviene verificar siempre que el servicio w32time esté en modo automático.

El desfase de un minuto no es un simple fastidio: puede provocar errores de autenticación Kerberos, problemas con certificados y eventos de sistema inconsistentes. En entornos con requisitos estrictos de seguridad o cumplimiento, la sincronización horaria es un control exigido por estándares como PCI-DSS. Por eso, la respuesta es afirmativa: sí, se debe configurar una fuente externa en el emulador PDC. Es una tarea de mantenimiento esencial que se hace una vez y evita dolores de cabeza a corto plazo.