0
Основная засада в том, что если жёстко запретить менять время (групповыми политиками или правами), то при любом сбое батарейки на матери или глюке синхры ты получишь рассинхрон с dc больше 5 минут и Kerberos сразу ляжет с ошибкой "Время не синхронизировано". И руками потом это без админских плясок с бубном не поправишь — приходится заходить локально под билтом, отключать политику и только потом синхрить.