Intermitentemente se solicitan las credenciales o experimentar tiempos de espera cuando se conecta a los servicios autenticados

Puede experimentar uno o varios de los síntomas siguientes. Estos síntomas pueden ser intermitentes o continuas. Estos síntomas son más y más generalizados durante las horas "de uso intensivo", como al principio de un negocio día cuando la carga cliente mayor se produce en los servidores en el entorno.

Puede experimentar los problemas siguientes en un escenario de servicios web:

• Los clientes Web recibirán respuestas retrasadas desde el servidor web.
• Los clientes Web se piden repetidamente las credenciales incluso si se especifican las credenciales correctas.

Puede experimentar los problemas siguientes en un escenario de proxy web:

• Los clientes Web recibirán respuestas retrasadas desde el servidor web.
• Los clientes Web se piden repetidamente las credenciales incluso si se especifican las credenciales correctas.

Puede experimentar los problemas siguientes en un escenario de cliente de Exchange:

• Los clientes reciben respuestas retrasadas desde el servidor.
• Los clientes se piden repetidamente las credenciales incluso si se especifican las credenciales correctas.

Puede experimentar el problema siguiente en cualquier escenario en el que se utiliza la autenticación NTLM para aplicaciones:

Puede experimentar el problema siguiente en un escenario de acceso de archivo remoto:Puede experimentar el problema siguiente en cualquier escenario en el que se está utilizando la delegación Kerberos en un servicio de nivel medio:Notas

• Este problema es más probable que ocurra si se cumplen una o más de las siguientes condiciones:
  • Existen servicios altamente transaccionales y muy utilizados en el entorno.
  • Hay un uso intensivo de secuencias de comandos que utilizan el proveedor WINNT.
  • Hay aplicaciones y servicios que no están configurados (o no son configurables) para utilizar la autenticación Kerberos.
  • Cuando las tres condiciones siguientes son verdaderas al mismo tiempo:
    • Hay muchos dominios "cuentas" (en otras palabras, los dominios que tienen cuentas de usuario en ellos) en el entorno.
    • Hay controladores de dominio basado en Windows Server 2003 (DC).
    • Hay aplicaciones o servicios que pueden autenticarse sin proporcionar el nombre de dominio. Por ejemplo, hay aplicaciones o servicios que proporcionan <null>\</null>Nombre de usuario en lugar de nombre de dominio\Nombre de usuario.
• Los siguientes síntomas indican que se está produciendo este problema en el entorno:
  • Un evento de origen de Kerberos se registra en el registro del sistema de servidores de aplicaciones. Este evento indica que se están produciendo errores de validación de la PAC de Kerberos. El evento similar al siguiente:

    Tipo de suceso: Error
    Origen de eventos: Kerberos
    Categoría del suceso: ninguno
    ID. de suceso: 7
    Usuario: N/D
    Descripción: El subsistema Kerberos detectó un error de comprobación de PAC. Esto indica que el PAC del cliente nombre de equipo en el territorio Nombre de dominio DNS de AD tenía un PAC que no se comprobó o se ha modificado. Póngase en contacto con el administrador del sistema.
    Datos: 0000: c0000192

  • Texto en los registros de depuración de servicio Netlogon (Netlogon.log) coincide con el texto "NlpUserValidateHigher: no se puede asignar la ranura de la API de cliente." Estas entradas pueden aparecer en cualquiera de los registros de depuración de Netlogon de los siguientes servidores:
    • El servidor de aplicaciones
    • Los controladores de dominio en el dominio de servidores de aplicación
    • Controladores de dominio que confía
  • PerfMon registro de rendimiento del contador de rendimiento de Netlogon para tiempos de espera del semáforo durante el tiempo cuando se produce el problema muestra los números mayor que cero. Valor de este contador puede aparecer en cualquiera de los siguientes servidores en este escenario:
    • El servidor de aplicaciones
    • Los controladores de dominio en el dominio de servidores de aplicación
    • Controladores de dominio que confía

Este problema se produce cuando un gran volumen de la autenticación NTLM o las transacciones de validación de PAC de Kerberos (o ambos), se producen en un servidor basado en Windows y que el volumen es mayor que el volumen que se puede controlar al mismo tiempo por el servidor miembro o los controladores de dominio que proporcionan autenticación. En otras palabras, esto está causado por un cuello de botella de recursos de autenticación.

La autenticación NTLM y validación de PAC se realizan por subprocesos dedicados en el proceso Lsass.exe en equipos basados en Windows. Hay un número máximo de estos subprocesos que están disponibles para manejar estas solicitudes al mismo tiempo, y si las solicitudes superan la disponibilidad de los subprocesos y las solicitudes no se pueden esperar más, se produce este problema.

De forma predeterminada, las estaciones de trabajo tienen uno de los subprocesos disponibles para su uso y los servidores miembro tienen dos de los subprocesos disponibles para su uso. Controladores de dominio tienen un subproceso disponible por el canal de seguridad para dominios de confianza. Este número máximo de subprocesos que están dedicados a este fin se conoce como "Maxconcurrentapi" y es configurable.

Para resolver el problema, utilice uno o varios de los métodos siguientes:

• Instale la revisión siguiente y, a continuación, siga los pasos que se describen en el "Información del registro"sección. Después de instalar esta revisión en Windows Vista, Windows Server 2008, Windows 7 o Windows Server 2008 R2, la maximumlimit de conexiones simultáneas entre un equipo cliente y otro servidor o un controlador de dominio para la autenticación NTLM o validación de PAC se puede cambiar hasta 150. Esto debe hacerse en todos los servidores que presentan Perfmon Netlogon "tiempo de espera de semáforo" las indicaciones que figuran en sus registros de rendimiento o que tienen el "NlpUserValidateHigher: no se puede asignar la ranura de la API de cliente" texto en sus registros de depuración de Netlogon.
• Para las aplicaciones y servicios que utilizan NTLM, simplemente configurarlos para utilizar la autenticación Kerberos en su lugar. Los métodos para hacer sea únicos a las aplicaciones.
• Si la validación de la PAC de Kerberos se ve como un síntoma, deshabilitar la validación de la PAC de Kerberos si el servicio lo permite. Esto debe hacerse en el servidor que tiene que aparece el evento del sistema Kerberos cuyo origen es de 7.
  
  NotaNo se puede deshabilitar la validación de la PAC de Kerberos para grupos de aplicaciones de IIS o para algunos servicios de Exchange.

Nota Para decidir qué valor se establece para el MaxConcurrentApi ajuste en su entorno consulte el siguiente artículo de Knowledge Base.

2688798 Cómo ajustar el rendimiento para la autenticación NTLM con la configuración de MaxConcurrentApi

Información de la revisión

Hay una revisión compatible de Microsoft. Sin embargo, esta revisión se diseñó para corregir el problema que se describe en este artículo. Este hotfix sólo en sistemas que experimenten el problema que se describe en este artículo. Esta revisión podría ser sometida a pruebas adicionales. Por lo tanto, si no se ve muy afectado por este problema, recomendamos que espere la próxima actualización de software que contenga esta revisión.

Si la revisión está disponible para su descarga, hay una sección de "Descarga de revisión disponible" en la parte superior de este artículo de Knowledge Base. Si no aparece en esta sección, póngase en contacto con servicio al cliente de Microsoft y soporte técnico para obtener la revisión.

Nota Si se producen problemas adicionales o si es necesario solucionar los problemas, es posible que deba crear una solicitud de servicio independiente. Se aplicarán los costos de soporte habituales a las cuestiones y problemas que no califican para esta revisión en cuestión. Para obtener una lista completa de los números de teléfono de soporte técnico de Microsoft o para crear una solicitud de servicio independiente, visite el siguiente sitio Web de Microsoft: Nota El formulario de "Descarga de revisión disponible" muestra los idiomas para que la revisión está disponible. Si no ve su idioma, es porque una revisión no está disponible para ese idioma.

Requisitos previos

Para aplicar esta revisión, el equipo debe ejecutar Windows 7, Windows Server 2008 R2, Windows Vista Service Pack 2 o Windows Server 2008 Service Pack 2.

Información del registro

Importante Esta sección, el método o la tarea contiene pasos que le indican cómo modificar el registro. Sin embargo, pueden producirse problemas graves si modifica incorrectamente el registro. Por lo tanto, asegúrese de que siga estos pasos cuidadosamente. Para mayor protección, copia de seguridad del registro antes de modificarlo. Luego puede restaurar el registro si surge algún problema. Para obtener más información acerca de cómo hacer copia de seguridad y restaurar el registro, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base: Después de instalar el hotfix, aumente el valor de Maxconcurrentapi a un número mayor en todos los servidores que tienen las indicaciones de "tiempo de espera de semáforo" Perfmon Netlogon en sus registros de rendimiento o que tienen "NlpUserValidateHigher: no se puede asignar la ranura de la API de cliente" texto en sus registros de depuración de Netlogon. Para ello, siga estos pasos:

1. Inicie el Editor del registro.
2. Busque la siguiente subclave del registro:
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters
3. Crear la entrada del registro siguiente:
   
   Nombre: MaxConcurrentApi
   Tipo: REG_DWORD
   Valor:Establezca el valor en el número más grande, que se prueba (cualquier número mayor que el valor predeterminado).
4. En el símbolo del sistema, ejecutar net stop netlogony, a continuación, ejecutar Net start netlogon.

Notas

• El valor máximo que se puede configurar depende de la versión del sistema operativo y si hay disponible una revisión.
  • El valor máximo configurable en Windows Server 2003 es 10.
  • El valor máximo configurable en Windows Server 2008 (sin la revisión de este artículo) es 10. Con la revisión, el máximo es 150.
  • El valor máximo configurable en Windows Server 2008 R2 (sin la revisión de este artículo) es 10. Con la revisión, el máximo es 150.
• Si decide aumentar el MaxConcurrentApivalue a más de 10, la carga y el rendimiento de la configuración deseada deben probarse en un entorno no productivo antes de implementar en producción. Se recomienda para asegurarse de que al aumentar este valor no causa otros cuellos de botella de recursos.

Para deshabilitar la validación de la PAC de Kerberos en un servidor, siga estos pasos.

1. Inicie el programa Regedt32.
2. Busque la ruta de clave del registro HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\Parameters.
3. En esa ubicación del registro, crear un valor DWORD denominado ValidateKdcPacSignature.
4. Establezca el valor de ValidateKdcPacSignature en 0.
5. Reinicie el servidor.
   

Nota No se puede deshabilitar la validación de la PAC de Kerberos para grupos de aplicaciones de IIS o para algunos servicios de Exchange.

Requisito de reinicio

Debe reiniciar el equipo después de aplicar esta revisión.

Información de reemplazo de hotfix

Esta revisión no sustituye a ninguna revisión publicada previamente.

Información de archivo

La versión en inglés (Estados Unidos) de esta revisión instala archivos que tienen los atributos que aparecen en las tablas siguientes. Las fechas y las horas de estos archivos se muestran en hora Universal coordinada (UTC). Se muestran las fechas y las horas de estos archivos en el equipo local en horario local junto con la diferencia de horario de verano (DST) actual. Además, las fechas y las horas pueden cambiar cuando realiza ciertas operaciones en los archivos.

• Los archivos MANIFEST (.manifest) y los MUM (.mum) que se instala para cada entorno son la lista por separado en la sección "información adicional de archivos para Windows Vista y Windows Server 2008". Los archivos de catálogo (.cat) de seguridad asociados y archivos de manifiesto y MUM son muy importantes para mantener el estado del componente actualizado. Los archivos de catálogo de seguridad para el que no se muestran los atributos, están firmados con una firma digital de Microsoft.

Información de archivos para Windows Vista y Windows Server 2008

Información de archivo para x 86-las versiones de Windows Server 2008 y Windows Vista

Información de archivo para las versiones de 64 x de Windows Server 2008 y Windows Vista

Información de archivo para las versiones basadas en IA-64 de Windows Server 2008

Información del archivo para Windows 7 y Windows Server 2008 R2

Notas sobre la información de archivos de Windows 7 y Windows Server 2008 R2Importante Las correcciones urgentes de Windows 7 y Windows Server 2008 R2 se incluyen en los mismos paquetes. Sin embargo, se enumeran las revisiones en la página de solicitud de revisión en ambos sistemas operativos. Para solicitar el paquete de revisiones que se aplica a uno o a ambos sistemas operativos, seleccione la revisión que aparece en "Windows 7 Windows Server 2008 R2" en la página. Siempre hacen referencia a la sección "Se aplica a" en los artículos para determinar el sistema operativo real al que se aplica cada revisión.

• Los archivos MANIFEST (.manifest) y los MUM (.mum) que se instala para cada entorno son la lista por separado en la sección "información adicional de archivos para Windows Server 2008 R2 y Windows 7". Los archivos de catálogo (.cat) de seguridad asociados y archivos de manifiesto y MUM son muy importantes para mantener el estado del componente actualizado. Los archivos de catálogo de seguridad para el que no se muestran los atributos, están firmados con una firma digital de Microsoft.

Para todas las versiones 86 de Windows 7 x

Para todas las versiones de 64 compatibles de Windows 7 y Windows Server 2008 R2 x

Para todas las versiones compatibles basadas en IA-64 de Windows Server 2008 R2

Microsoft ha confirmado que se trata de un problema de los productos de Microsoft enumerados en la sección "Se refiere a:".

Esta revisión se incluye en el Service Pack 1 (SP1) de Windows 7 y en Windows Server 2008 R2 Service Pack 1 (SP1).

La configuración de MaxConcurrentApi y la configuración predeterminada para los es heredados de Windows 2000 y de las capacidades de hardware limitados de ese momento. Con hardware antiguo, permitiendo subprocesos adicionales y el tráfico RPC que generaría fue una preocupación seria y existía la posibilidad de cuellos de botella de rendimiento si se han creado demasiados subprocesos. Con las plataformas de hardware más recientes y mejorar el rendimiento, es menos probable que se produzca esa limitación del rendimiento de hardware. Como siempre, es importante medir y comprender el rendimiento de los servidores en un entorno antes de aumentar el nivel de carga mediante una configuración MaxConcurrentApi alta.

Para obtener más información acerca de cómo utilizar el servicio Netlogon (Netlogon.log) registro de depuración, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:Se puede realizar un paso adicional de reducción en los controladores de dominio basado en Windows Server 2003 que tengan entradas en su registro de depuración del servicio Netlogon que indican que los clientes envían <null>\</null>Nombre de usuario en lugar de nombre de dominio\Nombre de usuario. Los pasos se describen en el siguiente artículo de Microsoft Knowledge Base:Obtener más información acerca de cómo utilizar el objeto de supervisión de rendimiento de Netlogon está disponible, junto con una actualización para agregar dicho objeto de rendimiento en Windows Server 2003. Hay una actualización para Windows Server 2003 que le permite supervisar la velocidad y el rendimiento de autenticaciones NTLM. Para obtener más información, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:Para obtener más información acerca de la terminología de la actualización de software, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:

Información adicional de archivos

Información adicional de archivos para Windows Vista y Windows Server 2008

Información adicional de archivos para x 86-las versiones de Windows Vista y Windows Server 2008

Información adicional de archivos para las versiones de 64 x de Windows Server 2008 y Windows Vista

Información adicional de archivos para las versiones basadas en IA-64 de Windows Server 2008

Información adicional de archivos para Windows 7 y Windows Server 2008 R2

Archivos adicionales para todas las versiones 86 de Windows 7 x

Archivos adicionales para todas las versiones de 64 compatibles de Windows 7 y Windows Server 2008 R2 x

Archivos adicionales para todas las versiones compatibles basadas en IA-64 de Windows Server 2008 R2