Intermitentemente se solicitan las credenciales o experimentar tiempos de espera cuando se conecta a los servicios autenticados

Puede experimentar uno o varios de los síntomas siguientes. Estos síntomas pueden ser intermitentes o continuas. Estos síntomas son más probable y más generalizada durante los tiempos de "uso intensivo", como al principio de un negocio día cargar cuando el cliente mayor se produce en los servidores en el entorno.

Puede experimentar los problemas siguientes en un escenario de servicios web:

• Los clientes Web recibirán respuestas con retraso desde el servidor web.
• Los clientes Web se piden repetidamente las credenciales incluso si se introducen las credenciales correctas.

Puede experimentar los problemas siguientes en un escenario de proxy web:

• Los clientes Web recibirán respuestas con retraso desde el servidor web.
• Los clientes Web se piden repetidamente las credenciales incluso si se introducen las credenciales correctas.

Puede experimentar los problemas siguientes en un escenario de cliente de Exchange:

• Los clientes recibir las respuestas con retraso desde el servidor.
• Los clientes se piden repetidamente las credenciales incluso si se introducen las credenciales correctas.

Puede experimentar el problema siguiente en cualquier escenario en el que se utiliza la autenticación NTLM para aplicaciones:

Puede experimentar el problema siguiente en un escenario de acceso de archivo remoto:Puede experimentar el problema siguiente en cualquier escenario en el que se utiliza la delegación Kerberos en un servicio de nivel medio:Notas

• Este problema es más probable que ocurra si uno o más de las siguientes condiciones son verdaderas:
  • Existen servicios altamente transaccionales y muy utilizados en el entorno.
  • Hay un uso intensivo de secuencias de comandos que utilizan el proveedor WINNT.
  • Existen aplicaciones y servicios que no están configurados (o no se puede configurar) para utilizar la autenticación Kerberos.
  • Cuando las tres condiciones siguientes son true al mismo tiempo:
    • Hay muchos dominios de "cuentas" (en otras palabras, los dominios que tienen cuentas de usuario en ellos) en el entorno.
    • Hay controladores de dominio basado en Windows Server 2003 (DC).
    • Hay aplicaciones o servicios que pueden autenticarse sin tener que proporcionar el nombre de dominio. Por ejemplo, hay aplicaciones o servicios que proporcionan <null>\</null>Nombre de usuario en lugar de nombre de dominio\Nombre de usuario.
• Los siguientes síntomas indican que se está produciendo este problema en el entorno:
  • Se registra un suceso de origen de Kerberos en el registro del sistema de servidores de aplicaciones. Este evento indica que haya errores en la validación de PAC de Kerberos. El evento similar al siguiente:

    Tipo de suceso: Error
    Origen de eventos: Kerberos
    Categoría de sucesos: ninguno
    ID. de suceso: 7
    Usuario: N/d
    Descripción: El subsistema Kerberos detectó un error de comprobación de PAC. Esto indica que el PAC del cliente nombre de equipo en el territorio Nombre de dominio DNS de AD tenía un PAC que no se comprobó o se ha modificado. Póngase en contacto con el administrador del sistema.
    Datos: 0000: c0000192

  • Texto en los registros de depuración de servicio Netlogon (Netlogon.log) coincide con el texto "NlpUserValidateHigher: no se puede asignar la ranura de la API del cliente." Estas entradas pueden aparecer en cualquiera de los registros de depuración de Netlogon de los siguientes servidores:
    • El servidor de aplicaciones
    • Los controladores de dominio en el dominio de servidores de aplicaciones
    • Controladores de dominio que confía
  • PerfMon registro de rendimiento del contador de rendimiento de inicio de sesión para los tiempos de espera del semáforo durante el tiempo cuando se está produciendo el problema muestra los números mayores que cero. Valor de este contador puede aparecer en cualquiera de los siguientes servidores en este escenario:
    • El servidor de aplicaciones
    • Los controladores de dominio en el dominio de servidores de aplicaciones
    • Controladores de dominio que confía

Este problema se produce cuando un gran volumen de la autenticación NTLM o las transacciones de validación de PAC de Kerberos (o ambos), se producen en un servidor basado en Windows y ese volumen es mayor que el volumen que se puede controlar al mismo tiempo por el servidor miembro o los controladores de dominio que están proporcionando autenticación. En otras palabras, esto está causado por un cuello de botella de recursos de autenticación.

La autenticación NTLM y validación de PAC se realizan mediante subprocesos dedicados en el proceso Lsass.exe en equipos basados en Windows. Hay un número máximo de estos subprocesos que están disponibles para procesar estas solicitudes al mismo tiempo, y si las solicitudes de superan la disponibilidad de los subprocesos y las solicitudes no se pueden esperar más, se produce este problema.

De forma predeterminada, las estaciones de trabajo tienen uno de los subprocesos disponibles para su uso y los servidores miembro tienen dos de los subprocesos disponibles para su uso. Los controladores de dominio tienen un subproceso disponible por el canal de seguridad para dominios de confianza. Este número máximo de subprocesos que están dedicados a este fin se conoce como "Maxconcurrentapi" y es configurable.

Para resolver el problema, utilice uno o varios de los métodos siguientes:

• Instale la revisión siguiente y, a continuación, siga los pasos que se describen en la "Información del registro"sección. Después de instalar esta revisión en Windows Vista, Windows Server 2008, Windows 7 o Windows Server 2008 R2, la maximumlimit de conexiones simultáneas entre un equipo cliente y otro servidor o un controlador de dominio para la autenticación NTLM o validación de PAC se puede cambiar hasta 150. Esto debe hacerse en todos los servidores que presentan Perfmon Netlogon "tiempo de espera de semáforo" las indicaciones que figuran en sus registros de rendimiento o que tienen el "NlpUserValidateHigher: no se puede asignar la ranura de la API de cliente" texto en sus registros de depuración de Netlogon.
• Para las aplicaciones y servicios que utilicen NTLM, simplemente configurarlos para utilizar la autenticación Kerberos en su lugar. Los métodos para hacer que serán únicos para esas aplicaciones.
• Si la validación de PAC de Kerberos se ve como un síntoma, deshabilitar la validación de PAC de Kerberos si el servicio lo permite. Esto debe hacerse en el servidor que tenga que aparezca el evento de sistema Kerberos cuyo origen es de 7.
  
  NotaNo se puede deshabilitar la validación de PAC de Kerberos para grupos de aplicaciones de IIS o para algunos servicios relacionados con Exchange.

Nota Para decidir qué valor se establece para el MaxConcurrentApi configuración en su entorno consulte el siguiente artículo de Knowledge Base.

2688798 (http://support.microsoft.com/kb/2688798) Cómo ajustar el rendimiento para la autenticación NTLM con la configuración de MaxConcurrentApi

Información de la revisión

Hay una revisión compatible de Microsoft. Sin embargo, esta revisión se diseñó para corregir el problema descrito en este artículo. Aplicar esta revisión sólo a los sistemas que experimenten el problema que se describe en este artículo. Esta revisión podría ser sometida a comprobaciones adicionales. Por lo tanto, si no se ve muy afectado por este problema, recomendamos que espere a la próxima actualización de software que contenga esta revisión.

Si la revisión está disponible para descargar, hay una sección de "Descarga de revisión disponible" en la parte superior de este artículo de Knowledge Base. Si no aparece en esta sección, póngase en contacto con servicio al cliente de Microsoft y soporte técnico para obtener la revisión.

Nota Si se producen problemas adicionales o cualquier solución de problemas es necesario, es posible que deba crear una solicitud de servicio independiente. Los costos habituales de soporte se aplicarán a las cuestiones y problemas que no reúnan los requisitos para esta revisión en cuestión. Para obtener una lista completa de los números de teléfono de servicio al cliente de Microsoft y soporte técnico o para crear una solicitud de servicio independiente, visite el siguiente sitio Web de Microsoft: Nota El formulario de "Descarga de revisión disponible" muestra los idiomas para que la revisión está disponible. Si no ve su idioma, es porque una revisión no está disponible para ese idioma.

Requisitos previos

Para aplicar esta revisión, el equipo debe ejecutar Windows 7, Windows Server 2008 R2, Windows Vista Service Pack 2 o Service Pack 2 de Windows Server 2008.

Información del registro

Importante Esta sección, el método o la tarea contiene pasos que le indican cómo modificar el registro. Sin embargo, pueden producirse problemas graves si modifica incorrectamente el registro. Por lo tanto, asegúrese de que sigue estos pasos cuidadosamente. Para una mayor protección, copia de seguridad del registro antes de modificarlo. A continuación, puede restaurar el registro si surge algún problema. Para obtener más información acerca de cómo hacer copia de seguridad y restaurar el registro, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base: Después de instalar el hotfix, aumente el valor de Maxconcurrentapi a un número mayor en todos los servidores que tienen las indicaciones de "tiempo de espera de semáforo" Perfmon Netlogon en sus registros de rendimiento o que tienen "NlpUserValidateHigher: no se puede asignar la ranura de la API de cliente" texto en sus registros de depuración de Netlogon. Para ello, siga estos pasos:

1. Inicie el Editor del registro.
2. Busque la siguiente subclave del registro:
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters
3. Crear la entrada del Registro siguiente:
   
   Nombre: MaxConcurrentApi
   Tipo: REG_DWORD
   Valor:Establecer el valor al número más grande, que la prueba (cualquier número mayor que el valor predeterminado).
4. En el símbolo del sistema, ejecutar NET stop netlogony, a continuación, ejecutar NET start netlogon.

Notas

• El valor máximo que se puede configurar depende de la versión del sistema operativo y si hay disponible una revisión.
  • El valor máximo configurable en Windows Server 2003 es 10.
  • El valor máximo configurable en Windows Server 2008 (sin la revisión de este artículo) es 10. Con la revisión, el máximo es 150.
  • El valor máximo configurable en Windows Server 2008 R2 (sin la revisión de este artículo) es 10. Con la revisión, el máximo es 150.
• Si decide aumentar el MaxConcurrentApivalue a más de 10, la carga y el rendimiento de la configuración deseada deben probarse en un entorno no productivo antes de implementar en producción. Esto se recomienda para asegurarse de que al aumentar este valor no provoca otros cuellos de botella de recursos.

Para deshabilitar la validación de PAC de Kerberos en un servidor, siga estos pasos.

1. Inicie el programa Regedt32.
2. Busque la ruta de la clave del registro HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\Parameters.
3. En esa ubicación del registro, cree un valor DWORD denominado ValidateKdcPacSignature.
4. Establecer el valor de ValidateKdcPacSignature a 0.
5. Reinicie el servidor.
   

Nota No se puede deshabilitar la validación de PAC de Kerberos para grupos de aplicaciones de IIS o para algunos servicios relacionados con Exchange.

Requisito de reinicio

Debe reiniciar el equipo después de aplicar esta revisión.

Información de reemplazo de hotfix

Esta revisión no sustituye a ninguna revisión publicada previamente.

Información de archivo

La versión de inglés (Estados Unidos) de esta revisión instala los archivos que tienen los atributos que se enumeran en las tablas siguientes. Las fechas y horas de estos archivos se muestran en hora Universal coordinada (UTC). Se muestran las fechas y las horas de estos archivos en el equipo local en horario local junto con la diferencia de horario de verano (DST) actual. Además, las fechas y las horas pueden cambiar cuando realiza determinadas operaciones en los archivos.

• Los archivos MANIFEST (.manifest) y los MUM (.mum) que se instala para cada entorno están la lista por separado en la sección "información adicional de archivos para Windows Vista y Windows Server 2008". MAMÁ y los archivos de manifiesto y los archivos de catálogo (.cat) de seguridad asociados, son muy importantes para mantener el estado del componente actualizado. Los archivos de catálogo de seguridad, para que no se enumeran los atributos, están firmados con una firma digital de Microsoft.

Información de archivo para Windows Vista y Windows Server 2008

Información de archivos para x 86-en versiones de Windows Server 2008 y Windows Vista

Información de archivo para las versiones de 64 x de Windows Server 2008 y Windows Vista

Información de archivo para las versiones basadas en IA-64 de Windows Server 2008

Información de archivo para Windows 7 y Windows Server 2008 R2

Notas sobre la información de archivos de Windows 7 y Windows Server 2008 R2Importante Las correcciones urgentes de Windows 7 y Windows Server 2008 R2 se incluyen en los mismos paquetes. Sin embargo, se enumeran las revisiones en la página de solicitud de revisión en ambos sistemas operativos. Para solicitar el paquete de revisiones que se aplica a uno o a ambos sistemas operativos, seleccione la revisión que aparece en "Windows 7/Windows Server 2008 R2" en la página. Siempre hacen referencia a la sección "Se aplica A" en los artículos para determinar el sistema operativo real al que se aplica cada revisión.

• Los archivos MANIFEST (.manifest) y los MUM (.mum) que se instala para cada entorno están la lista por separado en la sección "información adicional de archivos para Windows Server 2008 R2 y Windows 7". MAMÁ y los archivos de manifiesto y los archivos de catálogo (.cat) de seguridad asociados, son muy importantes para mantener el estado del componente actualizado. Los archivos de catálogo de seguridad, para que no se enumeran los atributos, están firmados con una firma digital de Microsoft.

Para todas las versiones 86 de Windows 7 x

Para todas las versiones de 64 compatibles de Windows 7 y Windows Server 2008 R2 x

Para todas las versiones compatibles basadas en IA-64 de Windows Server 2008 R2

Microsoft ha confirmado que se trata de un problema de los productos de Microsoft que se enumeran en la sección "Se refiere a:".

La configuración de MaxConcurrentApi y la configuración predeterminada para el es heredados de Windows 2000 y de las capacidades de hardware limitados de ese momento. Con hardware antiguo, lo que permite subprocesos adicionales y el tráfico RPC podría generar fue una grave preocupación y existe la posibilidad de cuellos de botella de rendimiento si se han creado demasiados subprocesos. Con las plataformas de hardware más recientes y mejorar el rendimiento, es menos probable que se produzca dicha limitación de rendimiento de hardware. Como siempre, es importante evaluar y comprender el rendimiento de los servidores en un entorno antes de aumentar el nivel de carga mediante el uso de una opción de MaxConcurrentApi alta.

Para obtener más información acerca de cómo utilizar el servicio Netlogon (Netlogon.log) registro de depuración, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:Un paso adicional de reducción de las que se puede realizar en los controladores de dominio basado en Windows Server 2003 que tienen entradas en su registro de depuración del servicio Netlogon que indican que los clientes envían <null>\</null>Nombre de usuario en lugar de nombre de dominio\Nombre de usuario. Los pasos se describen en el siguiente artículo de Microsoft Knowledge Base:Obtener más información acerca de cómo utilizar el objeto de supervisión de rendimiento de inicio de sesión está disponible, junto con una actualización para agregar dicho objeto de rendimiento en Windows Server 2003. Hay una actualización para Windows Server 2003 que le permite supervisar la velocidad y el rendimiento de autenticaciones NTLM. Para obtener más información, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:Para obtener más información acerca de la terminología de la actualización de software, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:

Información adicional de archivos

Información adicional de archivos para Windows Vista y Windows Server 2008

Información adicional de archivos para x 86-en versiones de Windows Vista y Windows Server 2008

Información adicional de archivos para las versiones de 64 x de Windows Server 2008 y Windows Vista

Información de archivo adicionales para las versiones basadas en IA-64 de Windows Server 2008

Información adicional de archivos para Windows 7 y Windows Server 2008 R2

Archivos adicionales para todas las versiones 86 de Windows 7 x

Archivos adicionales para todas las versiones de 64 compatibles de Windows 7 y Windows Server 2008 R2 x

Archivos adicionales para todas las versiones compatibles basadas en IA-64 de Windows Server 2008 R2