第1回　Windows OSにおける時刻同期サービスとNTP：Windowsネットワーク時刻同期の基礎とノウハウ（1/4 ページ）

連載目次

　ネットワークを介してコンピュータを接続する場合、それらコンピュータ間で「時刻（クロック）」を同期させておくことは非常に重要である。サービスやファイル・システム、イベント・ログなど、さまざまなものが時刻情報を元にして動作しているからだ。本記事では、NTP／SNTPプロトコルを使い、ネットワーク経由で時刻情報を同期させるための手法について解説する。今回は、Windows OSシステムだけでNTPネットワークを構築、運用する方法について解説する。

なぜ、時刻合わせが必要なのか

　われわれがコンピュータで作業をする場合、ファイルに行ったアクセス記録にはそのときの時刻（以下「時刻」とは、「年月日時分秒」情報のことを指す）がタイム・スタンプとして記録されることは、皆さんご存じであろう（ファイルの［プロパティ］ダイアログで簡単に確認できる）。同様に、Windowsでのさまざまなシステム稼働状況は、例えばイベント・ログなどにその時刻とともに記録されている。この時刻情報を提供しているのはWindows システム時刻（Windows OS 上で設定された時刻情報）である。

　昨今、何らかのセキュリティ上の問題が生じた場合に備え、監視されたアクセス記録などを含めた各種ログを継続的に取得保存するだけでなく、必要に応じてほかに稼働するシステムのログ類との突き合わせに利用するケースが増加している。この突合せのときにはそのログが記録された時刻をよりどころとするしかないわけだが、もしシステムごとにシステム時刻が大きく異なった場合、作業には大きな負担がかかることとなるだろう。

　外部の標準時刻に同期されていれば、実際に動作が発生した時刻を正しく把握できる。このため、WindowsおよびUNIX系をはじめ、コンピュータ・システムには時刻同期の仕組みが用意されており、外部の信頼されたリソースと時刻を同期させることが可能となっている。

　こういった時刻同期のシステムはさまざまな場所で利用されているが、例えば時間による課金システムなどでは、重要な要件として盛り込まれていることもしばしばである（時刻が正確でない場合、課金の正当性に問題が生じるため）。

　Windowsに話を戻すと、Active Directory環境ではkerberos認証がデフォルトで利用されるが、ドメイン・コントローラとクライアントの時刻情報を認証に利用するために、一致した時刻情報を持っていることが前提となっている。時刻が大きく異なった場合は認証に失敗する。このため、Active Directory環境ではドメイン内のコンピュータの時刻同期は極めて重要なファクタとなっている。そこで「Windows Time」サービスという、時刻同期のためのサービスがWindows 2000以降のOSで導入された。

• Windows 2000 Kerberos 認証機能（マイクロソフト）

　余談であるが、時刻同期に関する勧告の1つであるRFC 2030上では、標準時刻とシステム時刻の誤差は0.5秒以内が適切とされているようだ（実際はもう少しあいまいな表現がされている）。

• RFC 2030：Simple Network Time Protocol (SNTP) Version 4 for IPv4, IPv6 and OSI（IETF）

時刻を同期するとは、どういうことか

　時刻の同期は、ネットワークで結ばれた環境下で、時刻を提供するサーバ機能（時刻同期サーバ）と時刻を取得するクライアント機能（時刻同期クライアント）を保持するサービスやアプリケーションとの間で実行される。時刻同期が必要なコンピュータは、クライアントとしてサーバに対して時刻同期のための問い合わせを行い、サーバは要求に応じてクライアントに時刻を返答する。これを図にすると次のようになる。

時刻同期サービスの概要
Windows OSの「Windows Time」サービスやUNIXのデーモンは、ほかの時刻同期サーバに対して、時刻同期クライアント機能を使ってネットワーク経由で同期を行う。時刻同期アプリケーションの実装によっては、クライアント機能しか持たないものもある。

　時刻同期のサービスは、以前から国内外の大学や研究機関などが一般あるいは研究者向けに提供しているが、最近では企業やプロバイダがより一般向けのサービスとして無償提供していることがある。例えば以下のサービスなどを利用して、基準となる時刻情報源にするとよいだろう。

• インターネットマルチフィード時刻情報サービスfor Public（インターネットマルチフィード株式会社）

Windows Timeサービスで利用されるプロトコル

　Windows Timeサービスは、基本的にkerberos認証での必要要件に対応するために実装されたと考えられるが、その実装は漸次変化している。Windows 2000ではRFC 1769に準拠したSNTP（Simple Network Time Protocol）プロトコルが採用されたが、Windows XPおよびWindows Server 2003では、RFC 1305に準拠したNTP（Network Time Protocol）プロトコルが代わって採用されている（Windows TimeサービスではNTP Version 4拡張部分にも合わせて対応している）。

• RFC 1305：Network Time Protocol (Version 3) Specification, Implementation and Analysis（IETF）
• RFC 1769：Simple Network Time Protocol (SNTP)（IETF）

　NTPはSNTPと互換性を持つものの、複雑で高度な動作を行うプロトコルとして位置付けられている。SNTPが単純に参照先の時刻サーバから時刻を同期するだけの動作となっているのに対して、NTPはほかの時刻サーバと連携して「最も正しいと考えられる時刻」を選択して同期できるよう適切に動作する。

SNTPプロトコルとNTPプロトコルでの時刻同期方法の差異
SNTPでは、単に参照先NTPサーバからの時刻を同期するだけとなっているが、NTPでは保持する時刻の信頼度に応じて「Stratum（階層）」と呼ばれる階層が存在し、参照先NTPサーバが信頼に足る時刻情報源かどうか（有効な上位NTPサーバからの同期情報を保持しているかどうか）が重要であるため、必要に応じて参照先NTPサーバからさらなる上位NTPサーバなどに問い合わせを行っている。参照可能な上位NTPサーバすべてで問題が発生するなどで、NTPサーバが信頼に足る時刻情報を保持することができない状態となると、NTPクライアントは受け取った時刻を信頼できないものとして同期を行わない。

　複数の時刻情報源を利用するNTPでは、もしどこかでエラーが発生しても（信頼に足る時刻情報が得られなくなっても）、代わりにほかのNTPサーバを利用して、精度の高い、信頼できる時刻情報を提供するようになっている。

NTPプロトコルによる時刻同期の方法
NTPでは、例えば図のような同期関係が構成される場合、どこかで障害が発生しても適切な方法で信頼に足る時刻を持つサーバから時刻を同期できるため、全体に影響が及ばないつくりとなっている。また本来NTPは、多対多の同期関係に基づいた実装となっており、設定された各NTPサーバに対してNTPレベルでのネットワーク距離（同期距離）や時刻のずれの度合いなどから、最適な参照先をその都度自動選定するようになっている。

　NTPではこのような構造の階層システム（stratumおよびpeer階層と呼ばれる）が独自に存在している。その頂点には、原子時計やGPSなどを基にした高度に信頼できる時刻サーバが置かれ、これを基準にした階層構造がインターネット上に実装されている。

　Windows XP以降では、ワークグループ環境およびActive Directory環境で時刻サーバ（以下NTPサーバ）および同期するクライアント（以下NTPクライアント）として動作させることが可能である（ただしUNIXベースのNTPサーバとは実装が異なる。詳細は第3回で解説）。初期設定ではNTPサーバおよびNTPクライアントのどちらも稼働した状態となっている。