Fuite de mémoire dans le processus LSASS sur les contrôleurs de domaine Windows Server 2012 R2 et un serveur AD LDS

Symptômes

Une nouvelle allocation de mémoire de tas arène a été introduite dans la version de Windows Server 2012 R2 des Services d’annuaire. Il provoque une fuite de mémoire dans Lsass.exe (rôle de contrôleur de domaine) et de la DsaMain.exe du processus de Service d’annuaire léger (AD LDS) qui peut consommer toute la mémoire disponible sur votre contrôleur de domaine de Windows Server 2012 R2 ou un serveur AD LDS.

Cause

Ce problème se produit dans les situations suivantes :

• Promotion du contrôleur de domaine ou Ajouter réplica AD LDS à configuration définie
  
  Après l’ajout d’un réplica à une configuration par la promotion du contrôleur de domaine ou l’ajout d’une instance AD LDS sur Windows Server 2012 R2 ou Windows 8.1, le moteur de réplication doit répliquer tous les objets dans les contextes de nommage nécessaires sur la nouvelle instance. Au cours de la tâche, les processus de sécurité autorité Server Service LSASS (Local) ou DsaMain.exe peut provoquer une fuite de grave lorsqu’il alloue virtuels octets validés, bien que l’utilisation réelle est très faible. En outre, DCpromo.log indique le message d’erreur suivant :

  
  Date etheure[INFO] la réplication des données DC = Contoso,DC = com: reçu XXXXXX sur environ les objets XXXXXX et XXXXXX d’environ XXXXXX distinguent les valeurs de nom (DN)...
  
  La réplication critique date heure [avertissement] Non retourné 14
  

  
  Code d’erreur 14 se traduit par : ERROR_OUTOFMEMORY - mémoire insuffisante est disponible pour effectuer cette opération.
  
  L’événement suivant est enregistré dans le journal des événements au cours ou à la fin de dcpromo peu de temps après :

  Journal des événements	Source de l’événement	ID	Description
  Services d’annuaire	Réplication	2094	Avertissement de performances : la réplication a été retardée lors de l’application des modifications apportées à l’objet suivant. Si ce message se produit fréquemment, il indique que la réplication s’exécute lentement et que le serveur peut avoir des difficultés à maintenir avec les modifications. Objet DN : CN =nom du Client, OU =unité d’organisation, DC =Contoso, DC =com GUID de l’objet : GUID Partition de nom unique : DC =Contoso, DC =com Serveur : enregistrement DNS _msdcs du partenaire de réplication Le temps écoulé (en secondes) : XX Action de l’utilisateur Une raison courante de l’affichage de ce délai est que cet objet est particulièrement important, la taille de ses valeurs, soit le nombre de valeurs. Vous devez tout d’abord envisager si l’application peut être modifiée pour réduire la quantité de données stockées sur l’objet, ou le nombre de valeurs. S’il s’agit d’un groupe important ou une liste de distribution, vous pouvez envisager d’augmenter le niveau fonctionnel de la forêt vers Windows Server 2003 ou version ultérieure, car cela permettra de travailler plus efficacement la réplication. Vous devez évaluer si la plate-forme de serveur offre des performances suffisantes en termes de puissance de traitement et de mémoire. Enfin, vous souhaiterez peut-être envisager de régler la base de données des Services de domaine Active Directory en déplaçant la base de données et les journaux pour des partitions de disque distinctes. Si vous souhaitez modifier la limite d’avertissement, la clé de Registre est fournie ci-dessous. Une valeur égale à zéro désactive la vérification. Données supplémentaires Limite d’avertissement (s) : XX Limite de clé de Registre : Attente maximale de System\CurrentControlSet\Services\NTDS\Parameters\Replicator pour mettre à jour objet (s)
  Services d’annuaire	KCC	1308	Le vérificateur de cohérence des connaissances (KCC) a détecté que des tentatives successives pour répliquer avec le service d’annuaire a échoué systématiquement. Tentatives : 2 Service d’annuaire : CN = NTDS Settings, CN =DC001, CN =serveurs, CN =site1, CN =Sites, CN =Configuration, DC =Contoso, DC =com Période de temps (minutes) : XXXXXXX L’objet de connexion pour ce service d’annuaire est ignorée et une nouvelle connexion temporaire sera établie afin de garantir que la réplication continue. Une fois la reprise de la réplication avec ce service d’annuaire, la connexion temporaire est supprimée. Données supplémentaires Valeur d’erreur : 14 non mémoire insuffisante terminer cette opération.

  
  Remarque Le problème ne se produit pas si installation à partir de la promotion du média (IFM) de contrôleurs de domaine est utilisé. Toutefois, les promotions IFM disposent provenir de la même version de système d’exploitation.

• L’événement suivant est enregistré dans le journal des événements au cours ou à la fin de dcpromo peu de temps après :

  Journal des événements	Source de l’événement	ID	Description
  Services d’annuaire	Réplication	2094	Avertissement de performances : la réplication a été retardée lors de l’application des modifications apportées à l’objet suivant. Si ce message se produit fréquemment, il indique que la réplication s’exécute lentement et que le serveur peut avoir des difficultés à maintenir avec les modifications. Objet DN : CN =nom du Client, OU =unité d’organisation, DC =Contoso, DC =com GUID de l’objet : GUID Partition de nom unique : DC =Contoso, DC =com Serveur : enregistrement DNS _msdcs du partenaire de réplication Le temps écoulé (en secondes) : XX Action de l’utilisateur Une raison courante de l’affichage de ce délai est que cet objet est particulièrement important, la taille de ses valeurs, soit le nombre de valeurs. Vous devez tout d’abord envisager si l’application peut être modifiée pour réduire la quantité de données stockées sur l’objet, ou le nombre de valeurs. S’il s’agit d’un groupe important ou une liste de distribution, vous pouvez envisager d’augmenter le niveau fonctionnel de la forêt vers Windows Server 2003 ou version ultérieure, car cela permettra de travailler plus efficacement la réplication. Vous devez évaluer si la plate-forme de serveur offre des performances suffisantes en termes de puissance de traitement et de mémoire. Enfin, vous souhaiterez peut-être envisager de régler la base de données des Services de domaine Active Directory en déplaçant la base de données et les journaux pour des partitions de disque distinctes. Si vous souhaitez modifier la limite d’avertissement, la clé de Registre est fournie ci-dessous. Une valeur égale à zéro désactive la vérification. Données supplémentaires Limite d’avertissement (s) : XX Limite de clé de Registre : Attente maximale de System\CurrentControlSet\Services\NTDS\Parameters\Replicator pour mettre à jour objet (s)
  Services d’annuaire	KCC	1308	Le vérificateur de cohérence des connaissances (KCC) a détecté que des tentatives successives pour répliquer avec le service d’annuaire a échoué systématiquement. Tentatives : 2 Service d’annuaire : CN = NTDS Settings, CN =DC001, CN =serveurs, CN =site1, CN =Sites, CN =Configuration, DC =Contoso, DC =com Période de temps (minutes) : XXXXXXX L’objet de connexion pour ce service d’annuaire est ignorée et une nouvelle connexion temporaire sera établie afin de garantir que la réplication continue. Une fois la reprise de la réplication avec ce service d’annuaire, la connexion temporaire est supprimée. Données supplémentaires Valeur d’erreur : 14 non mémoire insuffisante terminer cette opération.

  
  Remarque Le problème ne se produit pas si installation à partir de la promotion du média (IFM) de contrôleurs de domaine est utilisé. Toutefois, les promotions IFM disposent provenir de la même version de système d’exploitation.

• Code d’erreur 14 se traduit par : ERROR_OUTOFMEMORY - mémoire insuffisante est disponible pour effectuer cette opération. L’événement suivant est enregistré dans le journal des événements au cours ou à la fin de dcpromo peu de temps après :

  Journal des événements	Source de l’événement	ID	Description
  Services d’annuaire	Réplication	2094	Avertissement de performances : la réplication a été retardée lors de l’application des modifications apportées à l’objet suivant. Si ce message se produit fréquemment, il indique que la réplication s’exécute lentement et que le serveur peut avoir des difficultés à maintenir avec les modifications. Objet DN : CN =nom du Client, OU =unité d’organisation, DC =Contoso, DC =com GUID de l’objet : GUID Partition de nom unique : DC =Contoso, DC =com Serveur : enregistrement DNS _msdcs du partenaire de réplication Le temps écoulé (en secondes) : XX Action de l’utilisateur Une raison courante de l’affichage de ce délai est que cet objet est particulièrement important, la taille de ses valeurs, soit le nombre de valeurs. Vous devez tout d’abord envisager si l’application peut être modifiée pour réduire la quantité de données stockées sur l’objet, ou le nombre de valeurs. S’il s’agit d’un groupe important ou une liste de distribution, vous pouvez envisager d’augmenter le niveau fonctionnel de la forêt vers Windows Server 2003 ou version ultérieure, car cela permettra de travailler plus efficacement la réplication. Vous devez évaluer si la plate-forme de serveur offre des performances suffisantes en termes de puissance de traitement et de mémoire. Enfin, vous souhaiterez peut-être envisager de régler la base de données des Services de domaine Active Directory en déplaçant la base de données et les journaux pour des partitions de disque distinctes. Si vous souhaitez modifier la limite d’avertissement, la clé de Registre est fournie ci-dessous. Une valeur égale à zéro désactive la vérification. Données supplémentaires Limite d’avertissement (s) : XX Limite de clé de Registre : Attente maximale de System\CurrentControlSet\Services\NTDS\Parameters\Replicator pour mettre à jour objet (s)
  Services d’annuaire	KCC	1308	Le vérificateur de cohérence des connaissances (KCC) a détecté que des tentatives successives pour répliquer avec le service d’annuaire a échoué systématiquement. Tentatives : 2 Service d’annuaire : CN = NTDS Settings, CN =DC001, CN =serveurs, CN =site1, CN =Sites, CN =Configuration, DC =Contoso, DC =com Période de temps (minutes) : XXXXXXX L’objet de connexion pour ce service d’annuaire est ignorée et une nouvelle connexion temporaire sera établie afin de garantir que la réplication continue. Une fois la reprise de la réplication avec ce service d’annuaire, la connexion temporaire est supprimée. Données supplémentaires Valeur d’erreur : 14 non mémoire insuffisante terminer cette opération.

  
  Remarque Le problème ne se produit pas si installation à partir de la promotion du média (IFM) de contrôleurs de domaine est utilisé. Toutefois, les promotions IFM disposent provenir de la même version de système d’exploitation.

• Propagation de descripteur de sécurité
  
  Un problème de fuite de mémoire peut se produire lorsqu’une modification de sécurité sur un objet conteneur (racine du domaine ou l’unité d’organisation (UO)) est héritée sur de nombreux objets enfants ou secondaires des unités d’organisation bien propagation de SD. En fonction de la taille de l’entrée de contrôle d’accès (ACE) doit être modifiée et le nombre d’objets (par exemple, 500 000), la propagation peut prendre beaucoup de temps. Pendant ce temps, le processus LSASS ou DsaMain peut allouer en permanence les octets validés.

• Requêtes d’exécution longue
  
  Inopinément la consommation de mémoire virtuelle au cours des requêtes de Lightweight Directory Access Protocol (LDAP) longue sur les serveurs Windows Server 2012 R2 ou basé sur Windows 8.1 de LDAP peut entraîner des pannes de mémoire. Les requêtes de longue durée qui consomment de la mémoire en obtenant un segment de mémoire pour le descripteur de sécurité de chaque objet touché.

Dans ces situations, lorsque les octets validés atteignent le nombre d’octets qui sont disponibles, le système deviendrait inutilisable et peut même tomber en panne.

Résolution

Pour corriger ce problème, appliquez le correctif qui est mentionné dans la section suivante.

Pour utiliser le correctif logiciel dans le cadre de Promotions de contrôleur de domaine (DCPROMO), procédez comme suit :

1. Installer le rôle Services de domaine Active Directory ou AD LDS.

2. Installez cette mise à jour ou les nouvelles mises à jour de Windows Server 2012 R2 et les mises à jour de sécurité qui contiennent le même Ntdsai.dll binaire comme ils sont toujours cumulatifs.

3. Promouvoir l’ordinateur au statut de contrôleur de domaine.

Important Si vous installez un pack de langue après avoir installé ce correctif, vous devez réinstaller ce correctif. Par conséquent, nous vous conseillons d’installer tous les pack de langage dont vous avez besoin avant d’installer ce correctif. Pour plus d'informations, consultez Ajouter les modules linguistiques pour Windows.

État

Microsoft a confirmé l'existence de ce problème dans les produits Microsoft répertoriés dans la section « S'applique à ».

Plus d'informations

Si vous activez NTDS\Diagnostics « 9 Internal Processing » niveau 2, comme indiqué dans la Base de connaissances Microsoft l’article 314980, vous pouvez afficher les événements de ActiveDirectory_DomainService suivants. Ces événements indiquent la tâche de propagation du SD longue.

Événement 1257 - indiquant le début de la Propagation de la SD
Événement interne : la tâche de propagation de descripteurs de sécurité traite un événement de propagation à partir du conteneur suivant.
Conteneur : OU = unité d’organisation, DC = Contoso, DC = com

Événement 2007 - indiquant la progression de la Propagation de la SD, enregistré toutes les 5 minutes
Événement interne : la tâche de propagation de descripteurs de sécurité a atteint le conteneur suivant et continue avec la propagation.
Conteneur : OU = unité d’organisation, DC = Contoso, DC = com
Nombre d’objets traités jusqu'à présent : XXXXXX

Événement 1258 - indiquant la fin de la Propagation de la SD, après quelques heures
Événement interne : la tâche de propagation de descripteurs de sécurité a terminé le traitement d’un événement de propagation à partir du conteneur suivant.
Conteneur : OU = unité d’organisation, DC = Contoso, DC = com
Nombre d’objets traités : ZZZZZZ

Après la réplication d’Active Directory à un autre contrôleur de domaine Windows Server 2012 R2 ou des instances AD LDS dans le domaine, le même problème peut se produire car la propagation SD est effectuée localement.

Vous ne verrez pas que la fuite de mémoire dans le rapport de la valeur de Active Directory collecteur car il montre uniquement utilisé octets. Toutefois, vous pouvez utiliser les performances créé moniteur données BLG fichier compteur objet : processus de vérification, Instance : Lsass, compteur : octets privés et : mémoire de l’objet, compteur : octets dédiés.

Pour plus d ' observation de l’évolution de la fuite, vous pouvez utiliser « Un graphique avec un échantillon de propriétés, d’éléments graphiques, moniteur de Performance » toutes les 60 secondes. Durée : 15 000, secondes (> 4 heures).

L’allocation de plus en plus se laisse également observer dans le Gestionnaire des tâches, l’onglet performances, élément de mémoire, validé. Il s’affiche sous validé disponibles gigaoctets (Go).

Indicateurs de la condition d’erreur sont les suivantes :

repadmin /showrepl renvoie :

Service d’annuaire enregistre l’événement d’erreur 1699 :

Message de l’application :

Références

Apprenez-en plus sur la terminologie que Microsoft utilise pour décrire les mises à jour logicielles.

Informations sur les fichiers

La version anglaise (États-Unis) de cette mise à jour logicielle installe des fichiers dont les attributs sont répertoriés dans les tableaux suivants. Les dates et heures de ces fichiers sont répertoriées en temps universel coordonné (UTC). N'oubliez pas que les dates et heures de ces fichiers sur votre ordinateur local sont affichées dans votre heure locale et avec votre décalage (heure d'été/d'hiver) en cours. Les dates et heures peuvent également changer lorsque vous effectuez certaines opérations sur les fichiers.