Windows ServerとAD-ログオン時の時刻同期を無効にする

Windows Server 2012 R2をすべて実行しているいくつかのアプリケーションサーバーでMS ADドメインがあります。アプリケーションには特別な要件があります。データベースとアプリサーバー間の時間シフトは5秒未満でなければなりません。2秒以上の時間差がある場合、アプリケーションはマシン時間を手動で設定します。5秒または10秒以上ある場合（覚えていない場合）、アプリは単に読み込まれません。

通常どおりActive Directoryの時刻同期メカニズムに依存しようとしましたが、ここでは機能しません。より「正確」である必要があります。

だから私の質問は...ドメインコントローラーとアプリサーバー間で時間の非同期化のリスクを知っているので、Active Directoryドメインへのログオン時にWindowsの時間同期を無効にすることは可能ですか？

Windows ADでは、ADレプリケーションの競合およびKerberos認証のためにタイムスタンプが必要です。Kerberosは、これらを使用して、リプレイ攻撃から保護します。この場合、認証パケットはネットワーク上でインターセプトされ、元の送信者に代わって認証するために後で再送信されます。

現地時間とタイムスタンプの差が大きすぎる場合、認証要求は拒否され、Kerberos認証は失敗します。時間スキューの設定が高すぎると、リプレイ攻撃のリスクが高くなります。デフォルト設定は5分です。

ドメインコントローラとサーバー間で時間を同期させなければ、認証を完了することはできません。そのため、Active Directoryドメインでのログオン時のWindows時間同期を無効にすると、認証に重大な問題が発生する可能性があります。