Déployer et configurer un serveur NTP sous Windows Server 2022 avec PowerShell

Contexte

Un service d’horloge fiable est indispensable pour la synchronisation des journaux, l’authentification Kerberos et la cohérence des bases de données. Windows Server 2022 intègre le service Windows Time (w32time) qui peut fonctionner comme serveur NTP pour les clients internes.

Quand l’utiliser ?

• Déploiement d’un nouveau domaine sans source de temps externe fiable.
• Remplacement d’un serveur NTP externe qui n’est plus disponible.
• Consolidation de la source de temps au sein d’une zone DMZ ou d’un réseau interne isolé.

🔹 Étapes de mise en place

1. Installer le rôle « Services de temps Windows »

# Installation du rôle (déjà présent sur Server Core, sinon)  
Install-WindowsFeature -Name "Time-Service"

2. Configurer le serveur comme source NTP fiable

# Activer le mode NTP server  
w32tm /config /manualpeerlist:"0.pool.ntp.org 1.pool.ntp.org" /syncfromflags:manual /reliable:yes /update

3. Forcer la synchronisation et redémarrer le service

# Forcer une première synchronisation  
w32tm /resync /nowait  
# Redémarrer le service pour prendre en compte les changements  
Restart-Service w32time

4. Vérifier le statut du service

# Afficher le statut actuel  
w32tm /query /status  
# Vérifier les sources configurées  
w32tm /query /source

5. Ouvrir le port NTP (UDP 123) dans le firewall

# Autoriser le trafic NTP entrant  
New-NetFirewallRule -DisplayName "NTP Inbound" -Direction Inbound -Protocol UDP -LocalPort 123 -Action Allow

6. Tester la résolution depuis un client

# Depuis un autre serveur Windows  
w32tm /stripchart /computer:SrvNTP01 /samples:5 /dataonly

⚠️ Méthode alternative

Si vous préférez une approche graphique, vous pouvez configurer le service via l’outil Services (services.msc) puis définir les paramètres dans HKLM:\SYSTEM\CurrentControlSet\Services\W32Time\Parameters à l’aide de l’éditeur de registre. La méthode PowerShell reste toutefois plus reproductible et scriptable.

✅ Bonnes pratiques de sécurité

• Utilisez des serveurs NTP publics de confiance (ex. pool.ntp.org) ou un serveur interne synchronisé sur un GPS/Stratum 1.
• Limitez l’accès au port 123 aux seules plages d’adresses internes via des règles de firewall précises.
• Activez le suivi d’événements (Microsoft-Windows-Time-Service/Operational) pour détecter d’éventuelles dérives.
• Documentez la configuration et conservez un plan de secours (ex. serveur secondaire NTP).

✅ Conclusion

En suivant ces étapes, vous avez transformé votre Windows Server 2022 en un serveur NTP fiable, centralisé et sécurisé. Cette base vous permettra de garantir la cohérence temporelle de l’ensemble de votre infrastructure, condition sine qua non pour le bon fonctionnement de Kerberos, des bases de données et des systèmes de sauvegarde. N’oubliez pas de monitorer régulièrement la dérive d’horloge et d’ajuster les sources si nécessaire.