Периодично се появи подкана за идентификационни данни или опит периоди на изчакване при свързване с удостоверена услуги

Симптоми

Можете да изпитате един или повече от следните симптоми. Тези симптоми могат да бъдат периодично или постоянно. Тези симптоми са по-вероятно и по-широко "голямо използване на" време, като в началото на бизнес ден при повишена клиент натоварване възниква на сървъри в среда.

Може да възникнат следните проблеми в уеб услуги сценарий: възникват следните проблеми в уеб прокси сценарий: възникват следните проблеми в Exchange клиент сценарий: могат да възникнат следните проблеми във всяка ситуация, в която NTLM удостоверяване се използва за приложения:

Линия на бизнес или потребителски приложения, които използват NTLM удостоверяването е неуспешно. Освен това може да получите различни грешки, които са непостоянни и могат да включват "достъпът е отказан."Можете да наблюдавате следните проблеми в случай на достъп до отдалечен файл:

Клиенти на Windows получавате грешка "достъпът отказан" или забави отговора от файловия сървър.Можете да наблюдавате следните проблеми в сценарий, в който се използва Kerberos делегиране в средата на ниво услуга:

Клиентите достъп успешно най-напред, но след загуба на достъп до същите ресурси. Освен това вие може да бъдете подканяни идентификационни данни или възникне грешка "достъпът отказан".Бележки

Причина

Този проблем възниква, когато голям брой NTLM удостоверяване или Kerberos PAC проверка на транзакции (или и двете) възниква на сървър, работещ под Windows, и този том е по-голяма от тома, могат да се обработват по време сървър член или домейн контролери, които предоставят удостоверяване. С други думи това се дължи на задръстване на ресурса удостоверяване.

NTLM удостоверяване и PAC проверка се извършва от специализирани теми в процеса Lsass.exe на компютри с Windows. Максимален брой тези теми, които са налични за работа с тези искания в същото време, и ако исканията превишават наличието на теми и заявки не чакайте повече, този проблем възниква.

По подразбиране работни станции са една от темите за използване и сървъри-членове са две теми за използване. Домейн контролерите да предлага тема за сигурност канал надеждни домейни. Този максимален брой теми, които са предназначени за тази цел се нарича "Maxconcurrentapi" и може да се конфигурира.

Решение

За да решите проблема, използвайте един или няколко от следните методи:

• Инсталирайте следната корекция и следвайте стъпките, описани в раздела "информация за системния регистър". След като инсталирате актуалната корекция за Windows Vista, Windows Server 2008, Windows 7 или Windows Server 2008 R2, maximumlimit едновременни връзки между клиентски компютър и друг сървър или домейнов контролер за NTLM удостоверяване или PAC проверка може да се промени до 150. Това се налага във всички сървъри, които имат индикатор Netlogon "семафор изчакване" обозначения им изпълнение logs или които са "NlpUserValidateHigher: не може да задели клиентски API слот" текст в регистрите си Netlogon грешки.

• Приложения и услуги, които използват NTLM просто конфигурирате да използвате Kerberos удостоверяване. Методи, за да направите това ще бъде уникален за тези приложения.

Забележка: За да решите каква стойност за MaxConcurrentApi настройка във вашата среда вижте статията от базата знания по-долу.

2688798 как да направите производителността за NTLM удостоверяване чрез настройката на MaxConcurrentApi

Статус

Microsoft потвърждава, че това е проблем в продуктите на Microsoft, изброени в раздела "Отнася се за".

Допълнителна информация

Тази корекция е включена в Windows 7 Service Pack 1 (SP1) и Windows Server 2008 R2 Service Pack 1 (SP1).

MaxConcurrentApi настройки и настройките по подразбиране за това са наследство на Windows 2000 и ограничен хардуерните възможности на това време. По-стари хардуер позволяващи допълнителни теми и те ще генерира RPC трафика е сериозен проблем и имаше възможност за резултати затруднения, ако много теми са създадени. С по-нови хардуерни платформи и подобрена производителност е по-вероятно да възникне това ограничение за изпълнение на хардуер. Както винаги е важно да прецени и да разбере изпълнение на сървъри в среда, преди да увеличи потенциални натоварването чрез настройка на висока MaxConcurrentApi .

За повече информация как да използвате услугата Netlogon debug регистриране (Netlogon.log), щракнете върху следния номер на статия в базата знания на Microsoft:

109626 активиране debug регистриране за услугата Net LogonМоже да се извърши допълнителна стъпка за намаляване на работещ под Windows Server 2003 домейн контролери, които имат записи в регистрационния файл за грешки си Netlogon услуга, които показват, че клиентите изпращате < null > \потребителско име вместо domainname\потребителско име. Стъпките са описани в следната статия от базата знания на Microsoft:

923241 Lsass.exe процес може да спре да отговаря, ако имате много външни гаранти на работещ под Windows Server 2003 домейн контролерПовече информация как да използвате Netlogon мониторинг обекта е наличен, заедно с актуализация, за да добавите този обект за изпълнение в Windows Server 2003. Има налична актуализация за Windows Server 2003, който ви позволява да следите скоростта и производителността на NTLM удостоверяване. За повече информация щракнете върху следния номер на статия в базата знания на Microsoft:

928576 нови индикатори на показателите за Windows Server 2003 ви позволяват да следите производителността на Netlogon удостоверяване

Има налична актуализация за Windows Server 2008 R2, който въвежда нови събития за проследяване на API за Netlogoan претоварване:

Има нови записи събитията, които NTLM удостоверяване забавяне и грешки в Windows Server 2008 R2
http://support.Microsoft.com/Default.aspx?scid=KB; АМЕРИКАНСКИ; 2654097
За повече информация относно терминологията за актуализация на софтуера щракнете върху следния номер на статия, за да я видите в базата данни на Microsoft:

824684

Описание на стандартната терминология, използвана за описание на софтуерните актуализации на Microsoft