Introduzione
Active Directory Domain Services (AD DS) assegna gli identificatori di sicurezza univoci (SID, Unique Security Identifier) a utenti, computer, gruppi e trust creati in Active Directory. I SID sono costituiti da un prefisso di dominio concatenato con un identificatore relativo (RID) a incremento costante. A ogni dominio Active Directory viene assegnato un pool di RID globale costituito da 1 miliardo RID. Per consentire a ogni controller di dominio Active Directory di creare nuove identità di sicurezza, ogni controller di dominio viene allocato i pool di RID correnti e in standby dal master RID. Quando il pool di RID globale per il dominio e per i pool locali dei singoli controller di dominio in un dominio viene esaurito, non è più possibile creare altri utenti, computer e gruppi nel dominio. Per risolvere il problema, è possibile creare e eseguire la migrazione di oggetti e applicazioni a un nuovo dominio. In questo articolo viene descritta una condizione in cui un errore logico può causare un numero eccessivo di richieste di pool RID. Questo porta all'esaurimento del pool RID globale.
Sintomi
In determinate circostanze rare, i controller di dominio Active Directory potrebbero iminmente utilizzare una grande quantità di risorse RID. Questo comportamento esaurisce il pool di RID globale. Quando si verifica questo problema, è possibile riscontrare uno o più dei problemi seguenti:
-
RID nel pool di RID globale vengono continuamente consumati nel tempo.
-
Il numero di RID consumati nel pool di RID globale è maggiore del previsto, considerando il numero di entità di sicurezza create intenzionalmente durante la durata del dominio.
-
Il test di DCDIAG RID Manager indica che la ricerca dell'attributo rIDSetReferences non riesce. Inoltre, viene visualizzato il messaggio di errore seguente:
Inizio test: RidManager Avviso: l'attributo rIdSetReferences mancante da CN =Name, OU = Domain Controllers, DC =Name, DC =Name, DC =Name, DC =Name Impossibile ottenere il riferimento set RID: non riuscito con 8481: La ricerca non ha recuperato gli attributi dal database. ......................... nome non riuscito test RidManager
L'hotfix in KB 2618669 consente di rilevare e prevenire questo comportamento nei controller di dominio basati su Windows Server 2008 R2.
Questo comportamento è incluso nelle versioni RTM di
-
Versioni del sistema operativo rilasciate dopo Windows Server 2019
-
Windows Server 2019
-
Windows Server 2016
-
Windows Server 2012 R2
-
Windows Server 2012
Causa
In determinate circostanze rare, un domain controller può emettere richieste ricorrenti per RID dal pool di RID globale ogni 30 secondi. Se le richieste ripetitive per gli aggiornamenti del pool RID sono consentite per continuare per un periodo di tempo significativo, il pool di RID globale potrebbe avere un consumo eccessivo di RID. In casi estremi, il pool di RID globale può esaurirsi completamente.
Risoluzione
Per evitare un eccessivo consumo di RID nel pool di RID globale, è consigliabile eseguire le operazioni seguenti:
-
Installare l'ultimo aggiornamento mensile rilasciato dopo (2016 settembre KB3185278) in tutti i controller di dominio Windows Server 2008 R2 esistenti.
-
Integrare l'aggiornamento nel supporto di installazione di Windows Server 2008 R2. In questo modo, puoi garantire che anche i futuri domain controller avranno questo aggiornamento.
-
Distribuire il ruolo Active Directory nelle versioni più recenti del sistema operativo che contengono questa funzionalità nella versione RTM.
Informazioni sull'hotfix
È disponibile un hotfix supportato da Microsoft. Tuttavia, questo hotfix è progettato per correggere solo il problema descritto in questo articolo. Applicare questo hotfix solo ai sistemi che stanno riscontrando il problema descritto in questo articolo. Questo hotfix potrebbe ricevere ulteriori test. Pertanto, se il problema non è gravemente influenzato, è consigliabile attendere il successivo aggiornamento software che contiene questo hotfix. Se l'hotfix è disponibile per il download, nella parte superiore dell'articolo della Knowledge base è presente una sezione "download hotfix disponibile". Se questa sezione non viene visualizzata, contattare il servizio clienti e il supporto tecnico Microsoft per ottenere l'hotfix. Nota Se si verificano altri problemi o se è necessaria una risoluzione dei problemi, potrebbe essere necessario creare una richiesta di servizio distinta. I soliti costi di supporto verranno applicati alle domande e ai problemi di supporto aggiuntivi che non sono idonei per questo hotfix specifico. Per un elenco completo dei numeri di telefono e del supporto tecnico Microsoft o per creare una richiesta di servizio separata, visitare il sito Web Microsoft seguente:
http://support.microsoft.com/contactus/?ws=support Nota Il modulo "download hotfix disponibile" Visualizza le lingue per cui è disponibile l'hotfix. Se la lingua non viene visualizzata, è possibile che non sia disponibile un hotfix per tale lingua.
Stato
Microsoft ha confermato che questo problema si verifica nei prodotti elencati nella sezione "Si applica a".
Ulteriori informazioni
Per altre informazioni sulla terminologia degli aggiornamenti software, fare clic sul numero dell'articolo della Microsoft Knowledge Base seguente per visualizzare l'articolo:
824684 Descrizione della terminologia standard utilizzata per descrivere gli aggiornamenti software Microsoft
