Kebocoran memori di proses LSASS pada kontroler domain berbasis Windows Server 2012 R2 dan server AD LDS

Gejala

Alokasi memori timbunan arena baru diperkenalkan di versi Windows Server 2012 R2 layanan direktori. Hal ini menyebabkan kebocoran memori di Lsass.exe (peran kontroler domain) dan DsaMain.exe proses layanan direktori ringan (LDS) yang dapat menghabiskan semua memori yang tersedia di pengontrol domain Windows Server 2012 R2 atau LDS server Anda.

Penyebab

Masalah ini terjadi pada situasi berikut:

• Promosi pengontrol domain atau menambahkan LDS replika konfigurasi set
  
  Setelah menambahkan replika konfigurasi promosi pengontrol domain atau menambahkan contoh LDS pada Windows Server 2012 R2 atau Windows 8.1, replikasi mesin memiliki untuk mereplikasi setiap objek dalam konteks penamaan yang diperlukan pada item baru. Selama tugas, proses lokal keamanan otoritas Server layanan (LSASS) atau DsaMain.exe dapat menyebabkan kebocoran parah ketika mengalokasikan virtual berkomitmen byte meskipun penggunaan nyata sangat rendah. Selain itu, DCpromo.log menampilkan pesan galat berikut:

  
  Tanggalwaktu[INFO] replikasi data DC = Contoso,DC = com: diterima XXXXXX dari sekitar XXXXXX objek dan XXXXXX dari sekitar XXXXXX dibedakan nilai DN (nama)...
  
  Tanggal waktu [peringatan] tidak penting replikasi kembali 14
  

  
  Kode galat 14 diterjemahkan: ERROR_OUTOFMEMORY - penyimpanan tidak cukup tersedia untuk menyelesaikan operasi ini.
  
  Kejadian berikut akan dicatat dalam log peristiwa selama atau dcpromo segera setelah selesai:

  Log peristiwa	Sumber peristiwa	ID	Deskripsi
  Layanan Direktori	Replikasi	2094	Kinerja peringatan: replikasi penundaan saat menerapkan perubahan ke objek berikut ini. Jika pesan ini sering terjadi, ini menunjukkan bahwa replikasi terjadi lambat dan bahwa server mungkin mengalami kesulitan menjaga dengan perubahan. Objek DN: CN =nama klien, OU =OU, DC =Contoso, DC =com Objek GUID: GUID Partisi DN: DC =Contoso, DC =com Server: _msdcs catatan DNS replikasi mitra Waktu berlalu (detik): XX Tindakan pengguna Alasan umum untuk melihat penundaan ini adalah bahwa objek ini terutama besar, ukuran nilai, atau dalam jumlah nilai. Pertama-tama Anda harus mempertimbangkan apakah aplikasi dapat diubah untuk mengurangi jumlah data yang tersimpan pada objek, atau jumlah nilai. Jika ini adalah grup besar atau daftar distribusi, Anda dapat mempertimbangkan menaikkan tingkat fungsional hutan untuk Windows Server 2003 atau lebih tinggi, karena ini akan memungkinkan replikasi bekerja lebih efisien. Anda harus mengevaluasi apakah server platform memberikan kinerja yang cukup dalam memori, dan pemrosesan daya. Terakhir, Anda mungkin ingin mempertimbangkan tuning database Layanan Domain direktori aktif dengan memindahkan pangkalan data dan log untuk memisahkan partisi disk. Jika Anda ingin mengubah batas peringatan, kunci registri yang disertakan di bawah ini. Nilai nol akan menonaktifkan pemeriksaan. Data tambahan Peringatan batas (detik): XX Kunci registri batas: System\CurrentControlSet\Services\NTDS\Parameters\Replicator maksimum menunggu pemutakhiran objek (detik)
  Layanan Direktori	KCC	1308	Pengetahuan konsistensi pemeriksa (KCC) telah mendeteksi bahwa berturut-turut upaya untuk mereplikasi dengan layanan direktori berikut ini secara konsisten gagal. Upaya: 2 Layanan Direktori: CN = NTDS pengaturan, CN =DC001, CN =server, CN =site1, CN =situs, CN =konfigurasi, DC =Contoso, DC =com Periode waktu (menit): XXXXXXX Objek sambungan layanan direktori ini akan diabaikan, dan sambungan sementara baru akan dibuat untuk memastikan bahwa replikasi berlanjut. Setelah melanjutkan replikasi dengan layanan direktori ini, sambungan sementara akan dihapus. Data tambahan Nilai kesalahan: 14 tidak cukup penyimpanan tersedia untuk menyelesaikan operasi ini.

  
  Catatan Masalah tidak terjadi jika menginstal dari promosi Media (IFM) untuk kontroler domain yang digunakan. Namun, IFM promosi memiliki berasal dari versi sistem operasi yang sama.

• Kejadian berikut akan dicatat dalam log peristiwa selama atau dcpromo segera setelah selesai:

  Log peristiwa	Sumber peristiwa	ID	Deskripsi
  Layanan Direktori	Replikasi	2094	Kinerja peringatan: replikasi penundaan saat menerapkan perubahan ke objek berikut ini. Jika pesan ini sering terjadi, ini menunjukkan bahwa replikasi terjadi lambat dan bahwa server mungkin mengalami kesulitan menjaga dengan perubahan. Objek DN: CN =nama klien, OU =OU, DC =Contoso, DC =com Objek GUID: GUID Partisi DN: DC =Contoso, DC =com Server: _msdcs catatan DNS replikasi mitra Waktu berlalu (detik): XX Tindakan pengguna Alasan umum untuk melihat penundaan ini adalah bahwa objek ini terutama besar, ukuran nilai, atau dalam jumlah nilai. Pertama-tama Anda harus mempertimbangkan apakah aplikasi dapat diubah untuk mengurangi jumlah data yang tersimpan pada objek, atau jumlah nilai. Jika ini adalah grup besar atau daftar distribusi, Anda dapat mempertimbangkan menaikkan tingkat fungsional hutan untuk Windows Server 2003 atau lebih tinggi, karena ini akan memungkinkan replikasi bekerja lebih efisien. Anda harus mengevaluasi apakah server platform memberikan kinerja yang cukup dalam memori, dan pemrosesan daya. Terakhir, Anda mungkin ingin mempertimbangkan tuning database Layanan Domain direktori aktif dengan memindahkan pangkalan data dan log untuk memisahkan partisi disk. Jika Anda ingin mengubah batas peringatan, kunci registri yang disertakan di bawah ini. Nilai nol akan menonaktifkan pemeriksaan. Data tambahan Peringatan batas (detik): XX Kunci registri batas: System\CurrentControlSet\Services\NTDS\Parameters\Replicator maksimum menunggu pemutakhiran objek (detik)
  Layanan Direktori	KCC	1308	Pengetahuan konsistensi pemeriksa (KCC) telah mendeteksi bahwa berturut-turut upaya untuk mereplikasi dengan layanan direktori berikut ini secara konsisten gagal. Upaya: 2 Layanan Direktori: CN = NTDS pengaturan, CN =DC001, CN =server, CN =site1, CN =situs, CN =konfigurasi, DC =Contoso, DC =com Periode waktu (menit): XXXXXXX Objek sambungan layanan direktori ini akan diabaikan, dan sambungan sementara baru akan dibuat untuk memastikan bahwa replikasi berlanjut. Setelah melanjutkan replikasi dengan layanan direktori ini, sambungan sementara akan dihapus. Data tambahan Nilai kesalahan: 14 tidak cukup penyimpanan tersedia untuk menyelesaikan operasi ini.

  
  Catatan Masalah tidak terjadi jika menginstal dari promosi Media (IFM) untuk kontroler domain yang digunakan. Namun, IFM promosi memiliki berasal dari versi sistem operasi yang sama.

• Kode galat 14 diterjemahkan: ERROR_OUTOFMEMORY - penyimpanan tidak cukup tersedia untuk menyelesaikan operasi ini. Kejadian berikut akan dicatat dalam log peristiwa selama atau dcpromo segera setelah selesai:

  Log peristiwa	Sumber peristiwa	ID	Deskripsi
  Layanan Direktori	Replikasi	2094	Kinerja peringatan: replikasi penundaan saat menerapkan perubahan ke objek berikut ini. Jika pesan ini sering terjadi, ini menunjukkan bahwa replikasi terjadi lambat dan bahwa server mungkin mengalami kesulitan menjaga dengan perubahan. Objek DN: CN =nama klien, OU =OU, DC =Contoso, DC =com Objek GUID: GUID Partisi DN: DC =Contoso, DC =com Server: _msdcs catatan DNS replikasi mitra Waktu berlalu (detik): XX Tindakan pengguna Alasan umum untuk melihat penundaan ini adalah bahwa objek ini terutama besar, ukuran nilai, atau dalam jumlah nilai. Pertama-tama Anda harus mempertimbangkan apakah aplikasi dapat diubah untuk mengurangi jumlah data yang tersimpan pada objek, atau jumlah nilai. Jika ini adalah grup besar atau daftar distribusi, Anda dapat mempertimbangkan menaikkan tingkat fungsional hutan untuk Windows Server 2003 atau lebih tinggi, karena ini akan memungkinkan replikasi bekerja lebih efisien. Anda harus mengevaluasi apakah server platform memberikan kinerja yang cukup dalam memori, dan pemrosesan daya. Terakhir, Anda mungkin ingin mempertimbangkan tuning database Layanan Domain direktori aktif dengan memindahkan pangkalan data dan log untuk memisahkan partisi disk. Jika Anda ingin mengubah batas peringatan, kunci registri yang disertakan di bawah ini. Nilai nol akan menonaktifkan pemeriksaan. Data tambahan Peringatan batas (detik): XX Kunci registri batas: System\CurrentControlSet\Services\NTDS\Parameters\Replicator maksimum menunggu pemutakhiran objek (detik)
  Layanan Direktori	KCC	1308	Pengetahuan konsistensi pemeriksa (KCC) telah mendeteksi bahwa berturut-turut upaya untuk mereplikasi dengan layanan direktori berikut ini secara konsisten gagal. Upaya: 2 Layanan Direktori: CN = NTDS pengaturan, CN =DC001, CN =server, CN =site1, CN =situs, CN =konfigurasi, DC =Contoso, DC =com Periode waktu (menit): XXXXXXX Objek sambungan layanan direktori ini akan diabaikan, dan sambungan sementara baru akan dibuat untuk memastikan bahwa replikasi berlanjut. Setelah melanjutkan replikasi dengan layanan direktori ini, sambungan sementara akan dihapus. Data tambahan Nilai kesalahan: 14 tidak cukup penyimpanan tersedia untuk menyelesaikan operasi ini.

  
  Catatan Masalah tidak terjadi jika menginstal dari promosi Media (IFM) untuk kontroler domain yang digunakan. Namun, IFM promosi memiliki berasal dari versi sistem operasi yang sama.

• Penyebaran deskriptor (SD) keamanan
  
  Masalah kebocoran memori yang mungkin terjadi saat perubahan keamanan di obyek kontainer (akar domain atau unit organisasi (OU)) dipertahankan pada banyak objek anak-anak atau subordinat ou meskipun SD penyebaran. Tergantung pada ukuran entri kontrol akses (ACE) akan diubah dan jumlah objek (misalnya, 500.000), penyebaran mungkin membutuhkan waktu lama. Selama waktu tersebut, proses LSASS atau DsaMain proses terus-menerus dapat mengalokasikan berkomitmen byte.

• Pertanyaan berjalan lama
  
  Tiba-tiba pemakaian memori virtual tinggi selama berjalan lama query protokol akses direktori ringan (LDAP) pada Windows Server 2012 R2 atau berbasis Windows 8.1 LDAP server dapat mengakibatkan pemutusan memori. Pertanyaan berjalan lama mengkonsumsi memori dengan mendapatkan tumpukan untuk deskriptor keamanan setiap objek yang akan menyentuh.

Dalam situasi ini, ketika byte berkomitmen mencapai jumlah byte yang tersedia, sistem menjadi tidak dapat digunakan dan mungkin bahkan lumpuh.

Pemecahan masalah

Untuk memperbaiki masalah ini, Terapkan hotfix yang disebutkan di bagian berikut ini.

Untuk menggunakan hotfix dalam konteks Domain Controller promosi (DCPROMO), ikuti langkah-langkah berikut:

1. Menginstal peran Layanan Domain direktori aktif atau AD LDS.

2. Instal pemutakhiran ini atau Pemutakhiran Windows Server 2012 R2 terbaru dan pembaruan keamanan yang berisi Ntdsai.dll sama biner karena mereka selalu kumulatif.

3. Meningkatkan komputer ke status kontroler domain.

Penting Jika Anda menginstal paket bahasa setelah Anda menginstal perbaikan terbaru ini, Anda harus menginstal perbaikan terbaru ini. Oleh karena itu, kami menyarankan Anda menginstal bahasa setiap paket yang Anda butuhkan sebelum Anda menginstal perbaikan terbaru ini. Untuk informasi selengkapnya, lihat Tambah paket bahasa untuk Windows.

Status

Microsoft telah memastikan bahwa ini merupakan masalah di dalam produk Microsoft sebagaimana tercantum di bagian "Berlaku untuk".

Informasi lebih lanjut

Jika Anda mengaktifkan NTDS\Diagnostics "Pemrosesan 9 Internal" tingkat 2 seperti yang disebutkan di dalam Basis Pengetahuan Microsoft artikel 314980, Anda mungkin melihat kejadian ActiveDirectory_DomainService berikut ini. Peristiwa tersebut menunjukkan berjalan lama SD penyebaran tugas.

Peristiwa 1257 - menunjukkan dimulainya SD penyebaran
Peristiwa internal: tugas penyebaran deskriptor keamanan pengolahan peristiwa penyebaran mulai dari kontainer berikut ini.
Kontainer: OU = OU, DC = Contoso, DC = com

Peristiwa 2007 - menunjukkan kemajuan penyebaran SD, log setiap 5 menit
Peristiwa internal: tugas penyebaran deskriptor keamanan yang telah mencapai kontainer berikut ini dan akan melanjutkan penyebaran.
Kontainer: OU = OU, DC = Contoso, DC = com
Jumlah objek diproses sejauh: XXXXXX

Peristiwa 1258 - menunjukkan akhir penyebaran SD, setelah beberapa jam
Peristiwa internal: tugas penyebaran deskriptor keamanan selesai memproses peristiwa penyebaran mulai dari kontainer berikut ini.
Kontainer: OU = OU, DC = Contoso, DC = com
Jumlah objek diproses: ZZZZZZ

Setelah replikasi direktori aktif untuk kontroler domain berbasis Windows Server 2012 R2 lain atau LDS contoh di domain, masalah yang sama dapat terjadi karena penyebaran SD dilakukan secara lokal.

Anda tidak akan melihat kebocoran memori di Active Directory Collector Set laporan karena menunjukkan hanya digunakan byte. Namun, Anda dapat menggunakan dibuat kinerja monitor BLG memeriksa berkas penghitung objek: proses data, misalnya: Lsass, penghitung: Private byte, dan objek: memori, kontra: berkomitmen byte.

Untuk lebih lama pengamatan pengembangan kebocoran, Anda dapat menggunakan "Grafik dengan kinerja Monitor properti, elemen grafik, contoh" setiap 60 detik. Durasi: 15.000 detik (> 4 jam).

Peningkatan alokasi dapat diamati di Manajer tugas, tab kinerja, item memori, Committed. Ini akan ditampilkan di bawah Committed tersedia gigabytes (GB).

Indikator kondisi galat adalah sebagai berikut:

mengembalikan repadmin /showrepl:

Layanan direktori log peristiwa galat 1699:

Popup aplikasi:

Referensi

Pelajari tentang peristilahan yang digunakan untuk menjelaskan pembaruan perangkat lunak Microsoft.

Informasi berkas

Versi bahasa Inggris (Amerika Serikat) dari pemutakhiran perangkat lunak ini menginstal berkas yang memiliki atribut yang tercantum dalam tabel berikut. Tanggal dan waktu untuk berkas-berkas tersebut dicantumkan dalam Waktu Universal Terkoordinasi (UTC). Perhatikan bahwa tanggal dan waktu untuk berkas-berkas tersebut di komputer lokal Anda ditampilkan dalam waktu lokal dengan selisih waktu daylight saving saat. Tanggal dan waktu juga dapat berubah jika Anda menjalankan pengoperasian tertentu pada berkas.