Você enfrenta um atraso no processo de autenticação do usuário quando você executa um programa de servidor de alto volume em um membro do domínio no Windows 2000 ou Windows Server 2003

Quando você executa um programa de servidor de alto volume em um membro do domínio que usa Kerberos para autenticar usuários, você enfrenta um atraso no processo de autenticação do usuário. Além disso, você notar um aumento no tráfego de (RPC) chamada a procedimento remoto entre o controlador de domínio que usa a interface RPC de logon de rede e o servidor.

Quando você habilita o log de depuração para o serviço Netlogon no membro do domínio ou no controlador de domínio, a seguinte entrada é registrada in a Netlogon.log:

[LOGON] SamLogon: Logon genérico de <domain name> \(null) de (nulo) Package: Kerberos digitado

Esse problema ocorre porque o cliente Kerberos verifica a assinatura PAC (certificado de atributos de privilégio) no tíquete Kerberos usando o controlador de domínio. O cliente Kerberos executa essa verificação para evitar falsificação de PAC. O tráfego de rede maior é gerado pelo RPC solicitações que são parte desse processo de verificação.

Os Kerberos cliente executa essa verificação apenas para não confiável chamadores. Modo de usuário aplicativos são reconhecidos como chamadores não confiáveis.

Informações sobre o service pack

Para resolver esse problema, obtenha o service pack mais recente para o Windows Server 2003 e aplicar a alteração de registro detalhados a seguir para desativar o PAC validação. Para obter mais informações, clique no número abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft: Depois de obter o service pack mais recente para o Windows Server 2003, desativar PAC verificação de serviços.

Aviso Podem ocorrer sérios problemas se você modificar o registro incorretamente usando o Editor do registro ou usando outro método. Esses problemas podem exigir que você reinstalar o sistema operacional. A Microsoft não garante que esses problemas possam ser solucionados. Modificar o registro por sua própria conta e risco.

No Windows Server 2003 SP2, você pode desativar PAC verificação de serviços. Para fazer isso, adicione a entrada de registro ValidateKdcPacSignature para a seguinte subchave do Registro: Adicione a entrada ValidateKdcPacSignature como uma entrada do tipo DWORD nos servidores que são autenticar usuários em serviços de aplicativos. Esses servidores podem incluir controladores de domínio. Quando o valor dessa entrada for 0, o Kerberos não executa validação de PAC em um processo é executado como um serviço. Quando o valor dessa entrada é 1, o Kerberos executa validação de PAC como de costume. Você precisa reiniciar o computador depois de modificar essa entrada do Registro. Quando essa entrada não estiver presente, o sistema se comporta como se a entrada estava presente e tem um valor de 1. O valor padrão no Windows Server 2008 para essa entrada é 0.

Para obter mais informações sobre como ativar o log de depuração para o serviço Logon de rede, clique no número abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:

A Microsoft confirmou que este é um problema nos produtos da Microsoft listados na seção "Aplica-se a". Esse problema foi corrigido primeiro no Microsoft Windows Server 2003 Service Pack 2.