Что это значит

Kerberos сравнивает время в запросе с временем на сервере и отклоняет запрос при расхождении больше пяти минут. Это защита от повторного использования перехваченных билетов. Вход по доменной учётке перестаёт работать у всех сразу, хотя пароли верные и сеть в порядке.

Расходятся часы обычно так: на сервере не настроена синхронизация времени, виртуальная машина возобновлена из паузы или снимка, источник времени недоступен из закрытой сети.

Как проверить

timedatectl
chronyc tracking
chronyc sources -v

В Windows: w32tm /query /status. Сравните время на сервере приложений и на контроллере домена.

Что сделать

  1. Настроить синхронизацию с тем же источником, что у домена. Обычно это сами контроллеры домена.
  2. Разово подвести часы: chronyc makestep.
  3. Проверить часовой пояс: Kerberos работает во всемирном времени, неверный пояс при верном времени не мешает, а неверное время мешает.
  4. Проверить все серверы системы. Расхождение времени ломает также проверку сертификатов и токенов.

rxdoctor проверяет синхронизацию времени пунктом OS-04.