Někdy vyzváni k zadání pověření nebo dochází k vypršení časových limitů při připojení k ověření služby

Příznaky

Může dojít jeden nebo více následujících příznaků. Tyto příznaky může být nepřetržitý nebo přerušovaný. Tyto příznaky jsou pravděpodobnější a většímu rozšíření v době "vysoké využití" jako na začátku obchodní den při klienta zvýšené zatížení dochází na serverech v prostředí.

Může dojít k následujícím problémům ve scénáři webové služby: může docházet k následujícím problémům ve scénáři webového serveru proxy: může dojít k následujícím problémům ve scénáři klienta Exchange: můžete setkat s následující problémy v jakémkoli scénáři, ve které NTLM ověřování se používá pro aplikace:

Řádek obchodní nebo vlastní aplikace, které používají ověřování NTLM nezdaří. Navíc může zobrazit různé chyby, které jsou občasné a může zahrnovat "přístup byl odepřen."Můžete zaznamenat následující problém ve scénáři přístup vzdálený soubor:

Klienti se systémem Windows k chybám "přístup odepřen" nebo zpoždění odpovědí ze souborového serveru.Můžete zaznamenat následující problémy v jakémkoli scénáři, ve kterém delegování s protokolem Kerberos používá služby střední vrstvy:

Klienti získat přístup na první úspěšně, ale pak ztratíte přístup ke stejným prostředkům. Kromě toho může být opakovaně vyzván k zadání pověření nebo dochází k chybám "přístup odepřen".Poznámky

Příčina

K tomuto problému dochází, když velký objem ověřování NTLM nebo transakce ověření Kerberos práškového aktivního uhlí (nebo obojí), dojít na serveru se systémem Windows a tento svazek je větší než objem, který lze zpracovat současně členského serveru nebo řadiče domény, které poskytují ověření. Jinými slovy je příčinou kritický prostředek ověřování.

Ověřování NTLM a ověřování práškového aktivního uhlí jsou prováděny vyhrazené podprocesy v procesu Lsass.exe v počítačích se systémem Windows. Maximální počet těchto podprocesů, které jsou k dispozici ke zpracování těchto požadavků současně a dostupnost podprocesy překročit požadavky a požadavky čekat déle, k tomuto problému dochází.

Ve výchozím nastavení mají některé z vláken, které jsou k dispozici pro použití na pracovní stanice a členské servery mají dvě podprocesů, které jsou k dispozici pro použití. Řadiče domény mít jeden podproces k dispozici na kanál zabezpečení důvěryhodné domény. Tento maximální počet podprocesů, které jsou vyhrazeny pro tento účel je označován jako "Maxconcurrentapi" a je konfigurovatelná.

Řešení

Chcete-li tento problém vyřešit, použijte jednu nebo více z následujících metod:

• Nainstalujte následující opravu hotfix a potom postupujte podle kroků popsaných v části "informace o registru". Po instalaci této opravy hotfix systému Windows Vista, Windows Server 2008, Windows 7 nebo Windows Server 2008 R2 maximumlimit souběžných připojení mezi počítačem klienta a jiný server nebo řadič domény pro ověřování NTLM nebo ověřování práškového aktivního uhlí se může změnit až na 150. To by mělo být provedeno na všech serverech, které vykazují Perfmon Netlogon označení "semafor časový limit" v jejich protokolování výkonu nebo které mají "NlpUserValidateHigher: Nelze přidělit patice Client API" text v jejich ladění protokolování Netlogon.

• Pro aplikace a služby, které používají ověřování NTLM pouze je nakonfigurujte ověřování protokolem Kerberos na místo. Metody k tomu je jedinečný pro tyto aplikace.

Poznámka: Rozhodnout, jaké hodnoty nastavení pro MaxConcurrentApi nastavení ve vašem prostředí naleznete v následujícím článku znalostní báze.

2688798 postup optimalizace výkonu pomocí nastavení MaxConcurrentApi pro ověřování NTLM

Stav

Společnost Microsoft potvrdila, že se jedná o problém v produktech společnosti Microsoft, které jsou uvedeny v části "Platí pro".

Další informace

Tato oprava hotfix je zahrnuta v aktualizaci Service Pack 1 (SP1) pro systém Windows 7 a Windows Server 2008 R2 Service Pack 1 (SP1).

Nastavení MaxConcurrentApi a výchozí nastavení pro něj jsou starší verze systému Windows 2000 a omezené hardwarové možnosti této doby. Starší hardware umožňující další vlákna a procedur, které generují by bylo vážné obavy a pokud byly vytvořeny příliš mnoho podprocesů došlo možnost kritické body. S novější hardwarových platforem a výkon je méně pravděpodobné, že dojde k omezení výkonu hardwaru. Jako vždy je důležité posoudit a pochopit výkonu serverů v prostředí před zvýšením potenciální zatížení pomocí vysoké nastavení MaxConcurrentApi .

Další informace o použití služby Netlogon ladění protokolování (Netlogon.log), získáte v následujícím článku znalostní báze Microsoft Knowledge Base:

109626 povolení ladění protokolování pro službu přihlašování k sítiDalší lessening krok lze provést na řadiči domény se systémem Windows Server 2003, které mají v jejich protokolu ladění služby Netlogon položky, které označují, že klienti odesílají hlasovací < null > \uživatelské jméno namísto název_domény\uživatelské jméno. Kroky jsou popsány v následujícím článku znalostní báze Microsoft Knowledge Base:

923241 proces Lsass.exe může přestat reagovat, pokud máte mnoho externích vztahů důvěryhodnosti na řadiči domény se systémem Windows Server 2003Další informace o tom, jak použít objekt sledování výkonu Služba Netlogon je k dispozici současně s aktualizací Chcete-li přidat tento objekt sledování výkonu v systému Windows Server 2003. Je aktualizace pro systém Windows Server 2003, který umožňuje sledovat rychlost a propustnost ověřování NTLM. Další informace získáte v následujícím článku znalostní báze Microsoft Knowledge Base:

928576 nové čítače výkonu pro systém Windows Server 2003 umožňují sledovat výkon Netlogon ověřování

Je aktualizace pro systém Windows Server 2008 R2, který zavádí nové události sledování rozhraní API Netlogoan přetížení:

Jsou k dispozici nové položky protokolu událostí, které sledují zpoždění ověřování NTLM a selhání v systému Windows Server 2008 R2
http://support.microsoft.com/default.aspx?scid=kB; EN-US; 2654097
Pro další informace o terminologii používané v aktualizacích softwaru, klepněte na následující číslo článku k zobrazení článku v databázi Microsoft Knowledge Base:

824684

Popis standardní terminologie používané k popisu aktualizací softwaru společnosti Microsoft