Puedes sincronizar la hora del FSMO contra un NTP externo confiable y luego no deberias hacer mas nada. Peri si quieres puedes hacer 2 GPO, una para el controlador del dominio con esta configuracion y una para las workstations especificando que el NTP server es el DC, pero por defecto los equipos en un dominio se sincronizan automaticamente con la jerarquia del Domain Controller utilizando el servicio de Windos Time, en lineas de comandos es w32tm, verifica que el servicio este iniciado en todos los Domain Controllers.
revisa tambien con dcdiag en cada DC si el AD esta funcionando correctamente especialmente el servicio de kerberos / time / y replicacion, este ultimo con los comandos: repadmin /showrel - repadmin /replsummary y sino puedes optar por bajarte y ejecutar un analisis completo con la herramienta de Active Directory Replication Check que te va a dar un panorama mas completo.