常见问题 银河麒麟Kerberos时钟同步NTP
Kerberos 时钟不同步？
麒麟接入 Kerberos 域报时钟偏差错：机器时钟漂移、NTP 没配、时间跳变。给出查时钟偏差、配同步服务的修复路径。
发布于 2026/11/11
所属频道 银河麒麟
简短答案
Kerberos 对时钟敏感，偏差超过容忍度（按域配置的允许值，常见约 5 分钟）票据就发不出来。先量偏差，再修同步，最后清残留票据。
| 现象 | 原因 | 处理 |
|---|---|---|
| 报时钟偏差类错误 | 本机时钟漂 | 配 NTP 同步 |
| 同步了还报 | 本地缓存的旧票据 | 清票据 |
| 反复跳变 | RTC 没电 / 时区错 | 修 RTC 与时区 |
怎么排查
# 1. 看当前时间与偏差
timedatectl
date; date -u
# 2. 看同步服务状态（以发行说明默认服务为准）
systemctl status chronyd 2>/dev/null || systemctl status ntpd
# 3. 手动同步一次
sudo chronyc -a makestep
# 4. 清残留票据（按域用户）
kdestroy -A- 域内 NTP 源由域管理员指定，按行业规范配置，不要自己指公网源；系统侧基线参考 麒麟 V11 服务器版 arm64 条目发行说明。
- 修完同步后重启域客户端服务（名称以发行说明为准）再验证。
- 需要系统恢复 / 维护时参考 Rufus 制作启动 U 盘；域接入行为以 银河麒麟 条目为准。
操作小结
- 先量偏差，再修同步。
- NTP 源按行业规范。
- 清残留票据再验证。