PAM: クラスタを有効にすると、PAM-CMN-5128 NTP が正しく構成されていません。 のエラーが発生する

Products

• CA Privileged Access Manager (PAM)

Issue/Introduction

Privileged Access Manager (以下、PAM) の環境で クラスタ環境構築のため、マニュアルに基づき、 NTP を構成し設定した。
その後、クラスタを有効にすると以下のエラーが出力される。

PAM-CMN-5128: <cluster node address>: NTP が正しく構成されていません。

NTPサーバへは到達可能で正常に登録されているように見えるが、なぜ、エラーになるのか？

Environment

Privileged Access Manager: All

Cause

PAM から構成されたタイムサーバに接続を試行しますが、NTP から受信したデータに不具合があると接続が拒否されます。
これはオフセット、ジッター、ルート分散値 などの差分が大きい可能性が考えられますが、これらは PAM の UI では表示されません。
この時、NTP の統計値は NTP から受信したものではなく、独自の統計データが表示されることになります。

この結果、設定 > 日時 > NTP ステータスで condition のカラムが rejectになっています。

Resolution

もし、NTP サーバをWindows上で構成している場合は、信頼できるタイムソースから時刻を取得していることを確認してください。
通常ドメイン内ではドメインコントローラから時刻を取得しますが、この場合、 Microsoft document を参照いただき、プライマリドメインコントローラのタイムサーバを正しく構成する必要があります。
具体的には レジストリ HKLM\System\CurrentControlSet\Services\W32Time\Parameters の Type と NtpServer の設定を確認します。
デフォルトでは Type=NT5DS と NtpServer=time.windows.com,0x8 (or 0x9) に設定されていますが、これらを Type=NTP and NtpServer=time.windows.com,0x8 (or 0x9) と既知の信頼できるタイムサーバへ接続するようにする必要があります。

一般的には ご利用の環境で有効であるなら、 UNIX/Linux ベースで稼働する NTP サーバを利用することを推奨とさせていただきます。

Additional Information

なお、本KBは以下の英文 KB を翻訳し補足しました。

Article ID: 102387: PAM-CMN-5128 NTP not properly configured when trying to turn on cluster