現象
次の現象の 1 つ以上が発生することがあります。 これらの症状は断続的または継続的である場合があります。 これらの現象は、環境内のサーバーでクライアントの負荷が増加する営業日の初めなど、「高使用率」の時間帯に発生する可能性が高く、より広範囲に発生します。
Web サービス シナリオでは、次の問題が発生する可能性があります。
- Web クライアントが Web サーバーから遅延応答を受信する場合。
- Web クライアントでは、正しい資格情報が入力された場合でも、資格情報の入力が繰り返し求められます。
Web プロキシのシナリオでは、次の問題が発生する可能性があります。
- Web クライアントが Web サーバーから遅延応答を受信する場合。
- Web クライアントでは、正しい資格情報が入力された場合でも、資格情報の入力が繰り返し求められます。
Exchange クライアントのシナリオでは、次の問題が発生する可能性があります。
- クライアントは、サーバーから遅延応答を受信します。
- クライアントは、正しい資格情報が入力された場合でも、資格情報の入力を繰り返し求められます。
アプリケーションに NTLM 認証が使用されるシナリオでは、次の問題が発生する可能性があります。
NTLM 認証を使用する基幹業務アプリケーションまたはカスタム アプリケーションは失敗します。 さらに、断続的に発生するさまざまなエラーが表示される場合があり、たとえば "アクセスが拒否されました" などのエラーが表示されることがあります。リモート ファイル アクセスのシナリオで、次の問題が発生する可能性があります。
Windows クライアントは、ファイル サーバーから「アクセス拒否」エラーまたは遅延応答を受信します。Kerberos 委任が中間層サービスで使用されているシナリオでは、次の問題が発生する可能性があります。
クライアントは最初は正常にアクセスできますが、その後同じリソースにアクセスできなくなります。 さらに、資格情報の入力が繰り返し求められたり、"アクセスが拒否されました" エラーが発生したりする場合があります。メモ
この問題は、次の条件の 1 つ以上に当てはまる場合に発生する可能性が高くなります。
環境には、トランザクション性が高く、頻繁に使用されるサービスがあります。
WINNT プロバイダーを使用するスクリプトが多用されています。
Kerberos 認証を使用するように構成されていない (または構成できない) アプリケーションやサービスがあります。
次の 3 つの条件が同時に当てはまる場合:
- 環境には多数の "アカウント" ドメイン (つまり、ユーザー アカウントを含むドメイン) があります。
- Windows Server 2003 ベースのドメイン コントローラー (DC) があります。
- ドメイン名を指定せずに認証される可能性があるアプリケーションまたはサービスがあります。 たとえば、domainname\username の代わりに <null>\username を提供するアプリケーションまたはサービスがあります。
次の現象は、この問題が環境で発生していることを示しています。
Kerberos ソース イベントは、アプリケーション サーバーのシステム ログに記録されます。 このイベントは、Kerberos PAC 検証が失敗していることを示します。 このイベントは次のようになります。
Netlogon サービス デバッグ ログ (Netlogon.log) のテキストは、"NlpUserValidateHigher: クライアント API スロットを割り当てることができません" というテキストと一致します。これらのエントリは、次のサーバーの Netlogon デバッグ ログのいずれかに記録される可能性があります。
- アプリケーション サーバー
- アプリケーション サーバー ドメイン内のドメイン コントローラー
- ドメイン コントローラーを信頼する
問題が発生している間のセマフォ タイムアウトの Netlogon パフォーマンス カウンターのパフォーマンス ログには、0 より大きい数値が表示されます。 このシナリオでは、このカウンター値は次のサーバーのいずれかに表示される場合があります。
- アプリケーション サーバー
- アプリケーション サーバー ドメイン内のドメイン コントローラー
- ドメイン コントローラーを信頼する
原因
この問題は、Windows ベースのサーバーで大量の NTLM 認証または Kerberos PAC 検証トランザクション (またはその両方) が発生し、そのボリュームが認証を提供しているメンバー サーバーまたはドメイン コントローラーが一度に処理できるボリュームを超えている場合に発生します。 つまり、これは認証リソースのボトルネックによって発生します。
NTLM 認証と PAC 検証は、Windows ベースのコンピューター上の Lsass.exe プロセスの専用スレッドによって実行されます。 これらの要求を同時に処理できるこれらのスレッドには最大数があり、要求がスレッドの使用可能性を超え、要求がこれ以上待機できない場合、この問題が発生します。
既定では、ワークステーションには使用可能なスレッドの 1 つがあり、メンバー サーバーには使用可能なスレッドが 2 つあります。 ドメイン コントローラーには、信頼されたドメインへのセキュリティ チャネルごとに 1 つの使用可能なスレッドがあります。 この目的専用のスレッドの最大数は "Maxconcurrentapi" と呼ばれ、構成可能です。
解決策
この問題を解決するには、次の方法の 1 つ以上を使用します。
- 次の修正プログラムをインストールし、「レジストリ情報」に記載されている手順に従ってください。 この修正プログラムを Windows Vista、Windows Server 2008、Windows 7、または Windows Server 2008 R2 にインストールした後、NTLM 認証または PAC 検証のためのクライアント コンピューターと別のサーバーまたはドメイン コントローラー間の同時接続の最大制限が 150 まで変更される可能性があります。 これは、パフォーマンス ログに Perfmon Netlogon の "セマフォ タイムアウト" を示す、または Netlogon デバッグ ログに "NlpUserValidateHigher: クライアント API スロットを割り当てることができません" というテキストがあるすべてのサーバーで実行する必要があります。
- NTLM を使用しているアプリケーションとサービスの場合は、代わりに Kerberos 認証を使用するように構成するだけです。 これを行う方法は、それらのアプリケーションに固有のものになります。
注: 使用している環境の MaxConcurrentApi 設定に設定する値を決定するには、以下の「サポート技術情報」 (Microsoft Knowledge Base) の記事を参照してください。
2688798 MaxConcurrentApi 設定を使用して NTLM 認証のパフォーマンス チューニングを行う方法
修正プログラムの情報
マイクロソフトでは、この問題を修正する修正プログラムを提供しています。 ただし、この修正プログラムは、ここで説明する問題のみを修正することを目的としたものです。 この修正プログラムは、この資料に記載されている問題が発生しているシステムにのみ適用します。 この修正プログラムは、今後さらにテストを行う場合があります。 したがって、この問題で深刻な影響を受けていない場合は、この修正プログラムが含まれる次のソフトウェア更新プログラムがリリースされるまで待つことを推奨します。
修正プログラムをダウンロードできる場合は、このサポート技術情報の資料の上部に「修正プログラムのダウンロード」セクションがあります。 このセクションが表示されていない場合は、Microsoft カスタマー サービス & サポート にお問い合わせのうえ、修正プログラムを入手してください。
注: 別の問題が発生した場合、またはトラブルシューティングが必要な場合には、別のサービス リクエストを作成することが必要になる場合があります。 特定の修正プログラムの対象とならない追加の質問および問題については、通常のサポート料金が適用されます。 マイクロソフト カスタマー サービス サポートの電話番号一覧を参照、または別のサービス リクエストを作成するには、次のマイクロソフト Web サイトを参照してください。
http://support.microsoft.com/contactus/?ws=support 注: [修正プログラムのダウンロードが利用可能] フォームには、修正プログラムを使用できる言語が表示されます。 使用している言語が表示されない場合は、その言語の修正プログラムが存在しないことになります。
前提条件
この修正プログラムを適用するには、コンピューターで Windows 7、Windows Server 2008 R2、Windows Vista Service Pack 2、または Windows Server 2008 Service Pack 2 が実行されている必要があります。
レジストリ情報
重要: このセクション、メソッド、またはタスクには、レジストリの変更方法が記載されています。 ただし、レジストリを誤って変更すると、深刻な問題が発生する可能性があります。 そのため、この手順は必ず慎重に行ってください。 さらなる保護のため、レジストリは変更する前にバックアップしてください。 こうしておけば、問題が発生した場合にレジストリを復元できます。 レジストリのバックアップ方法および復元方法の詳細を参照するには、以下のサポート技術情報番号をクリックしてください。
322756 Windows でレジストリをバックアップおよび復元する方法修正プログラムをインストールしたら、パフォーマンス ログに Perfmon Netlogon の "セマフォ タイムアウト" の表示があるサーバー、または Netlogon デバッグ ログに "NlpUserValidateHigher: クライアント API スロットを割り当てることができません" というテキストがあるすべてのサーバーで、Maxconcurrentapi 値を大きな値に増やします。 このためには、次の手順を実行します。
レジストリ エディターを起動します。
次のレジストリ サブキーを見つけます。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters次のレジストリ エントリを作成します。
名前: MaxConcurrentApi
種類: REG_DWORD
値:この値は、テストしたより大きな値 (既定値より大きい任意の数値) に設定します。コマンド プロンプトで net stop netlogon を実行し、net start netlogon を実行します。
メモ
構成できる最大値は、オペレーティング システムのバージョンと、修正プログラムが利用可能かどうかによって異なります。
- Windows Server 2003 で構成可能な最大設定は 10 です。
- Windows Server 2008 (この記事の修正プログラムなし) で構成可能な最大設定は 10 です。 修正プログラムでは、最大値は 150 です。
- Windows Server 2008 R2 (この資料の修正プログラムなしで) で構成可能な最大設定は 10 です。 修正プログラムでは、最大値は 150 です。
MaxConcurrentApivalue を 10 より大きくする場合は、運用環境に実装する前に、非運用環境で負荷とパフォーマンスをテストする必要があります。 これは、この値を大きくしても他のリソースのボトルネックが発生しないようにするために推奨されます。
再起動の必要性
この修正プログラムの適用後、コンピューターを再起動する必要があります。
修正プログラムの置き換えに関する情報
この修正プログラムを適用しても、以前にリリースされた修正プログラムが置き換えられることはありません。
ファイル情報
この修正プログラムの英語 (米国) 版では、次の表に示す各属性を持つファイルがインストールされます。 これらのファイルの日付と時刻は世界協定時刻 (UTC) で記載されています。 お使いのコンピューターでは、これらのファイルの日付と時刻は夏時間 (DST) 調整済みのローカル時刻で表示されます。 さらに、ファイルに対して特定の操作を実行すると、日時が変更される場合があります。
- 各環境にインストールされている MANIFEST ファイル (.manifest) と MUM ファイル (.mum) については、「Windows Vista および Windows Server 2008 の追加ファイル情報」に個別に記載されています。 MUM ファイル、MANIFEST ファイル、および関連するセキュリティ カタログ (.cat) ファイルは、更新されたコンポーネントの状態を維持するために非常に重要です。 属性の一覧が表示されていないセキュリティ カタログ ファイルは、Microsoft デジタル署名で署名されています。
Windows Vista および Windows Server 2008 のファイル情報
Windows Server 2008 および Windows Vista (x86 ベース) のファイル情報
| ファイル名 | ファイルのバージョン | ファイル サイズ | 日付 | 時刻 | プラットフォーム |
|---|---|---|---|---|---|
| Netlogon.dll | 6.0.6002.22289 | 592,896 | 2009 年 12 月 16 日 | 12:09 | x86 |
| Nlsvc.mof | 該当しない | 2,873 | 2009 年 4 月 3 日 | 21:24 | 該当しない |
Windows Server 2008 および Windows Vista (x64 ベース) のファイル情報
| ファイル名 | ファイルのバージョン | ファイル サイズ | 日付 | 時刻 | プラットフォーム |
|---|---|---|---|---|---|
| Netlogon.dll | 6.0.6002.22289 | 716,800 | 2009 年 12 月 16 日 | 1,207 | x64 |
| Nlsvc.mof | 該当しない | 2,873 | 2009 年 4 月 3 日 | 20:58 | 該当しない |
IA-64 ベースの Windows Server 2008 のファイル情報
| ファイル名 | ファイルのバージョン | ファイル サイズ | 日付 | 時刻 | プラットフォーム |
|---|---|---|---|---|---|
| Netlogon.dll | 6.0.6002.22289 | 1,216,512 | 2009 年 12 月 16 日 | 1,205 | IA-64 |
| Nlsvc.mof | 該当しない | 2,873 | 2009 年 4 月 3 日 | 20:59 | 該当しない |
Windows 7 および Windows Server 2008 R2 のファイル情報
Windows 7 および Windows Server 2008 R2 のファイル情報メモ
重要: Windows 7 の修正プログラムと Windows Server 2008 R2 の修正プログラムは、同じパッケージに収められています。 ただし、"修正プログラムの要求" ページの修正プログラムは、両方のオペレーティング システムの下に表示されます。 一方または両方のオペレーティング システムに適用される修正プログラム パッケージを要求するには、ページ上の "Windows 7/Windows Server 2008 R2" の下に表示されている修正プログラムを選択します。 必ず資料の「対象製品」を参照して、各修正プログラムの適用対象である実際のオペレーティング システムを確認してください。
- 各環境にインストールされている MANIFEST ファイル (.manifest) および MUM ファイル (.mum) は、「Windows 7 および Windows Server 2008 R2 用の追加ファイル情報」セクションに個別に記載されています。 MUM ファイル、MANIFEST ファイル、および関連するセキュリティ カタログ (.cat) ファイルは、更新されたコンポーネントの状態を維持するために非常に重要です。 属性の一覧が表示されていないセキュリティ カタログ ファイルは、Microsoft デジタル署名で署名されています。
サポートされているすべてのバージョンの Windows 7 (x86 ベース)
| ファイル名 | ファイルのバージョン | ファイル サイズ | 日付 | 時刻 | プラットフォーム |
|---|---|---|---|---|---|
| Netlogon.dll | 6.1.7600.20576 | 563,712 | 2009 年 11 月 16 日 | 06:40 | x86 |
| Nlsvc.mof | 該当しない | 2,873 | 2009 年 6 月 10 日 | 21:29 | 該当しない |
サポートされているすべてのバージョンの Windows 7 および Windows Server 2008 R2 (x64 ベース)
| ファイル名 | ファイルのバージョン | ファイル サイズ | 日付 | 時刻 | プラットフォーム |
|---|---|---|---|---|---|
| Netlogon.dll | 6.1.7600.20576 | 692,736 | 2009 年 11 月 16 日 | 07:45 | x64 |
| Nlsvc.mof | 該当しない | 2,873 | 2009 年 6 月 10 日 | 20:47 | 該当しない |
サポートされているすべてのバージョンの Windows Server 2008 R2 (IA-64 ベース)
| ファイル名 | ファイルのバージョン | ファイル サイズ | 日付 | 時刻 | プラットフォーム |
|---|---|---|---|---|---|
| Netlogon.dll | 6.1.7600.20576 | 1,148,416 | 2009 年 11 月 16 日 | 10:06 | IA-64 |
| Nlsvc.mof | 該当しない | 2,873 | 2009 年 6 月 10 日 | 20:52 | 該当しない |
状態
Microsoft は、これが "適用対象" セクションに記載されている Microsoft 製品の問題であることを確認しました。
追加情報
この修正プログラムは、Windows 7 Service Pack 1 (SP1) および Windows Server 2008 R2 Service Pack 1 (SP1) に含まれています。
MaxConcurrentApi 設定とその既定の設定は、Windows 2000 の遺留であり、当時の限られたハードウェア機能のものです。 古いハードウェアでは、追加のスレッドとそれらによって生成される RPC トラフィックを許可することが深刻な懸念事項であり、作成されるスレッドが多すぎるとパフォーマンスのボトルネックが発生する可能性がありました。 新しいハードウェア プラットフォームとパフォーマンスの向上により、ハードウェアのパフォーマンス制限が発生する可能性は低くなります。 いつものように、高い MaxConcurrentApi 設定を使用して潜在的な負荷を増加させる前に、環境内のサーバーのパフォーマンスを測定して理解することが重要です。
Netlogon サービス デバッグ ログ (Netlogon.log) を使用する方法の関連情報を参照するには、以下の「サポート技術情報」 (Microsoft サポート技術情報) をクリックしてください。
109626 Net Logon サービスのデバッグ ログを有効にする Netlogon サービスのデバッグ ログに、クライアントが domainname\username ではなく <null>\username を送信していることを示すエントリがある Windows Server 2003 ベースのドメイン コントローラーでは、追加の軽減手順を実行できます。 手順については、次の「サポート技術情報」 (Microsoft サポート技術情報) の記事で説明されています。
923241 Windows Server 2003 ベースのドメイン コントローラに外部信頼が多い場合、Lsass.exe プロセスが応答しなくなることがあります Netlogon パフォーマンス監視オブジェクトの使用方法に関する詳細情報は、Windows Server 2003 でそのパフォーマンス オブジェクトを追加するための更新プログラムと共に入手できます。 NTLM 認証の速度とスループットを監視できる Windows Server 2003 の更新プログラムがあります。 詳細については、次のマイクロソフト サポート技術情報番号をクリックしてください。
928576 Windows Server 2003 の新しいパフォーマンス カウンターを使用して、Netlogon 認証のパフォーマンスを監視できます
Netlogoan API のオーバーロードを追跡する新しいイベントを導入する Windows Server 2008 R2 の更新プログラムがあります。
Windows Server 2008 R2 での NTLM 認証の遅延および失敗を追跡する新しいイベント ログ エントリが利用可能です
http://support.microsoft.com/default.aspx?scid=kb;EN-US;2654097
ソフトウェア更新プログラムに関する用語の関連情報を参照するには、以下のサポート技術情報番号をクリックしてください。
824684
Microsoft のソフトウェア更新の説明で使用される一般的な用語の解説
追加ファイル情報
Windows Vista および Windows Server 2008 の追加ファイル情報
x86 ベースの Windows Vista および Windows Server 2008 の追加ファイル情報
| ファイル名 | Update.mum |
|---|---|
| ファイル バージョン | 該当しない |
| ファイル サイズ | 3,068 |
| 日付 (UTC) | 2009 年 12 月 16 日 |
| (UTC) のレポート | 21:16 |
| プラットフォーム | 該当しない |
| ファイル名 | X86_d097c3e62c5fe28649de747cfa96d8cc_31bf3856ad364e35_6.0.6002.22289_none_8f4d35d9370e9c53.manifest |
| ファイル バージョン | 該当しない |
| ファイル サイズ | 705 |
| 日付 (UTC) | 2009 年 12 月 16 日 |
| (UTC) のレポート | 21:16 |
| プラットフォーム | 該当しない |
| ファイル名 | X86_microsoft-windows-security-netlogon_31bf3856ad364e35_6.0.6002.22289_none_ffda50c84e769578.manifest |
| ファイル バージョン | 該当しない |
| ファイル サイズ | 22,701 |
| 日付 (UTC) | 2009 年 12 月 16 日 |
| (UTC) のレポート | 14:05 |
| プラットフォーム | 該当しない |
Windows Server 2008 および Windows Vista (x64 ベース) の追加ファイル情報
| ファイル名 | Amd64_0fe0181b07108c9de21c48d7ff24c52a_31bf3856ad364e35_6.0.6002.22289_none_f87d1e5f85e49530.manifest |
|---|---|
| ファイル バージョン | 該当しない |
| ファイル サイズ | 1,000 |
| 日付 (UTC) | 2009 年 12 月 16 日 |
| (UTC) のレポート | 21:16 |
| プラットフォーム | 該当しない |
| ファイル名 | Amd64_microsoft-windows-security-netlogon_31bf3856ad364e35_6.0.6002.22289_none_5bf8ec4c06d406ae.manifest |
| ファイル バージョン | 該当しない |
| ファイル サイズ | 23,180 |
| 日付 (UTC) | 2009 年 12 月 16 日 |
| (UTC) のレポート | 1,552 |
| プラットフォーム | 該当しない |
| ファイル名 | Update.mum |
| ファイル バージョン | 該当しない |
| ファイル サイズ | 3,092 |
| 日付 (UTC) | 2009 年 12 月 16 日 |
| (UTC) のレポート | 21:16 |
| プラットフォーム | 該当しない |
| ファイル名 | Wow64_microsoft-windows-security-netlogon_31bf3856ad364e35_6.0.6002.22289_none_664d969e3b34c8a9.manifest |
| ファイル バージョン | 該当しない |
| ファイル サイズ | 18,332 |
| 日付 (UTC) | 2009 年 12 月 16 日 |
| (UTC) のレポート | 14:00 |
| プラットフォーム | 該当しない |
IA-64 ベースの Windows Server 2008 の追加ファイル情報
| ファイル名 | Ia64_93a1c37632c96e8463a7fa3608662f92_31bf3856ad364e35_6.0.6002.22289_none_f505daf555102feb.manifest |
|---|---|
| ファイル バージョン | 該当しない |
| ファイル サイズ | 1,058 |
| 日付 (UTC) | 2009 年 12 月 16 日 |
| (UTC) のレポート | 21:16 |
| プラットフォーム | 該当しない |
| ファイル名 | Ia64_microsoft-windows-security-netlogon_31bf3856ad364e35_6.0.6002.22289_none_ffdbf4be4e749e74.manifest |
| ファイル バージョン | 該当しない |
| ファイル サイズ | 23,156 |
| 日付 (UTC) | 2009 年 12 月 16 日 |
| (UTC) のレポート | 16:08 |
| プラットフォーム | 該当しない |
| ファイル名 | Update.mum |
| ファイル バージョン | 該当しない |
| ファイル サイズ | 2,247 |
| 日付 (UTC) | 2009 年 12 月 16 日 |
| (UTC) のレポート | 21:16 |
| プラットフォーム | 該当しない |
| ファイル名 | Wow64_microsoft-windows-security-netlogon_31bf3856ad364e35_6.0.6002.22289_none_664d969e3b34c8a9.manifest |
| ファイル バージョン | 該当しない |
| ファイル サイズ | 18,332 |
| 日付 (UTC) | 2009 年 12 月 16 日 |
| (UTC) のレポート | 14:00 |
| プラットフォーム | 該当しない |
Windows 7 および Windows Server 2008 R2 の追加ファイル情報
サポートされているすべてのバージョンの Windows 7 (x86 ベース) の追加ファイル
| ファイル名 | ファイルのバージョン | ファイル サイズ | 日付 | 時刻 | プラットフォーム |
|---|---|---|---|---|---|
| Package_for_kb975363_rtm~31bf3856ad364e35~x86~~6.1.1.0.mum | 該当しない | 1,947 | 2009 年 11 月 16 日 | 09:45 | 該当しない |
| X86_microsoft-windows-security-netlogon_31bf3856ad364e35_6.1.7600.20576_none_fe237c4db262181f.manifest | 該当しない | 35,541 | 2009 年 11 月 16 日 | 08:08 | 該当しない |
サポートされているすべてのバージョンの Windows 7 および Windows Server 2008 R2 (x64 ベース) の追加ファイル
| ファイル名 | ファイルのバージョン | ファイル サイズ | 日付 | 時刻 | プラットフォーム |
|---|---|---|---|---|---|
| Amd64_microsoft-windows-security-netlogon_31bf3856ad364e35_6.1.7600.20576_none_5a4217d16abf8955.manifest | 該当しない | 35,547 | 2009 年 11 月 16 日 | 11:08 | 該当しない |
| Package_for_kb975363_rtm~31bf3856ad364e35~amd64~~6.1.1.0.mum | 該当しない | 2,181 | 2009 年 11 月 16 日 | 09:45 | 該当しない |
| Wow64_microsoft-windows-security-netlogon_31bf3856ad364e35_6.1.7600.20576_none_6496c2239f204b50.manifest | 該当しない | 16,596 | 2009 年 11 月 16 日 | 08:01 | 該当しない |
サポートされているすべてのバージョンの Windows Server 2008 R2 (IA-64 ベース) の追加ファイル
| ファイル名 | ファイルのバージョン | ファイル サイズ | 日付 | 時刻 | プラットフォーム |
|---|---|---|---|---|---|
| Ia64_microsoft-windows-security-netlogon_31bf3856ad364e35_6.1.7600.20576_none_fe252043b260211b.manifest | 該当しない | 35,544 | 2009 年 11 月 16 日 | 06:09 | 該当しない |
| Package_for_kb975363_rtm~31bf3856ad364e35~ia64~~6.1.1.0.mum | 該当しない | 1,683 | 2009 年 11 月 16 日 | 09:45 | 該当しない |
| Wow64_microsoft-windows-security-netlogon_31bf3856ad364e35_6.1.7600.20576_none_6496c2239f204b50.manifest | 該当しない | 16,596 | 2009 年 11 月 16 日 | 08:01 | 該当しない |