Pemutakhiran Windows kontroler domain berbasis Server 2012 R2 atau berbasis Windows Server 2012, April 2016

Masalah yang diperbaiki dalam pemutakhiran ini

Masalah 1 Menyisipkan lebih cepat ke direktori aktif mengubah pemberitahuan antrian penundaan Layanan asinkron Thread antrian (ATQ) thread pool, permintaan LDAP, dan pemberitahuan berbasis replikasi.

Saat kondisi ini benar, pengontrol domain (DC) lokal keamanan otoritas subsistem Layanan (LSASS) mengkonsumsi penggunaan CPU yang tinggi atau penggunaan CPU 100% dalam kasus yang ekstrem. Operasi berikut ini diblokir saat antrian pemberitahuan perubahan mengembangkan di DC diberikan:

• Replikasi direktori aktif dipicu oleh pemberitahuan perubahan tertunda.

• ATQ thread pendaftaran atau dan ditunda.

• Penulisan ke DC diblokir.

• Ketika penyisipan string sedang berlangsung, pengolahan antrian pemberitahuan juga diblokir. Pemberitahuan berbasis replikasi diblokir selama operasi ini.

• Penggunaan CPU LSASS proses berjalan dingin di DC semua beberapa operasi yang diblokir dan thread hanya mendapatkan CPU saat replikasi direktori aktif.

Pemutakhiran ini mencakup batas atas jumlah item pemberitahuan perubahan yang pengontrol domain akan ditambahkan ke antrian.  Setelah batas ini tercapai, DC akan merespons dengan "ERROR_DS_ADMIN_LIMIT_EXCEEDED".  Secara default, ambang adalah 4096.  Kunci registri berikut dapat ditambahkan untuk mengubah batas ini diperlukan:

HKEY_LOCAL_MACHINE\CCS\Services\NTDS\Parameters DWORD "Maksimum bersamaan LDAP pemberitahuan"Nilai maksimum untuk pemberitahuan perubahan yang terlalu rendah dapat menyebabkan kegagalan tidak diperlukan untuk mengubah pemberitahuan klien. Oleh karena itu, sangat penting untuk menentukan kisaran "normal" penghitung ini sebelum menerapkan perbaikan terbaru.  Untuk menetapkan atas kisaran antrian pemberitahuan perubahan, pertimbangkan untuk memantau penghitung DS beritahu antrian ukuran pada semua pengontrol domain di hutan untuk menentukan nilai puncak.

Pertimbangkan buffer setidaknya 25% dari total nilai puncak berpengalaman saat memantau penghitung ini untuk menentukan nilai maksimum bersamaan LDAP pemberitahuan yang sesuai.

Catatan Perbaikan untuk masalah ini termasuk dalam pembaruan keamanan 3160352.

Masalah 2 Renames bergabung dengan domain Microsoft SQL Server anggota komputer gagal dengan galat "Layanan Direktori ini sibuk".

Masalah ini terjadi jika kondisi berikut benar:

• Microsoft SQL Server diinstal pada komputer berbasis Windows yang bergabung ke domain direktori aktif.

• Prinsip Layanan nama (SPN) yang terdaftar dengan Microsoft SQL Server atau Microsoft SQL Express berisi karakter non-numerik setelah ":" pembatas dalam atribut SPN account komputer yang sedang diganti nama.

• Komputer yang menjadi inang Microsoft SQL Server diganti nama di Panel kontrol.

• Pengontrol domain Windows Server 2012 R2 Layanan operasi ganti nama.

Demikian pula, menambah nama komputer alternatif juga akan gagal. Computername NetDom Tambahkan perintah gagal dengan yang berikut layar galat:

Untuk informasi selengkapnya tentang masalah ini, lihat pembaruan 3152220.


Issue 3

Upaya logon tunggal di situs web dihitung sebagai dua upaya logon di direktori aktif. Oleh karena itu, jumlah sandi salah meningkatkan oleh dua bukan oleh salah satu.



Masalah 4 Pelanggaran akses LSASS terjadi bersama-sama dengan galat "0xc0000005" pada Windows Server 2012 R2 DC Ditarget oleh Azure AD menyambung identitas sinkronisasi klien yang menjalankan "Impor penuh".

Saat pengguna berjalan "Impor penuh" di Azure AD menyambung identitas sinkronisasi klien terhadap DC berbasis Windows Server 2012 R2, terjadi pelanggaran akses pada proses LSASS, dan DC restart dengan kode galat "0xc0000005". Masalah ini terjadi saat tampungan daur ulang direktori aktif akan dinonaktifkan.

Untuk informasi selengkapnya tentang masalah ini, lihat memperbarui 3145339.



Masalah 5

Lsass.exe lumpuh di DC dengan pelanggaran akses ketika pengguna menjalankan kueri protokol akses direktori ringan (LDAP) berulang terhadap grup Active Directory yang memiliki banyak bersarang kelompok.  Contoh permintaan yang dapat memicu lumpuh semacam ini adalah sebagai berikut:

ldifde -f t.txt -d "dc =contoso, dc = com" - r "(menarik:memberID: = cn =cn, cn =cn, dc =contoso, dc = com)"

Cara mendapatkan pembaruan ini

Penting Jika Anda menginstal paket bahasa setelah Anda menginstal pembaruan ini, Anda harus menginstal pembaruan ini. Oleh karena itu, kami menyarankan Anda menginstal bahasa setiap paket yang Anda butuhkan sebelum Anda menginstal pembaruan ini. Untuk informasi selengkapnya, lihat Tambah paket bahasa untuk Windows.

Rincian informasi pemutakhiran

Status

Microsoft telah memastikan bahwa ini merupakan masalah di dalam produk Microsoft sebagaimana tercantum di bagian "Berlaku untuk".

Referensi

Pelajari tentang peristilahan yang digunakan untuk menjelaskan pembaruan perangkat lunak Microsoft.

Informasi berkas

Versi bahasa Inggris (Amerika Serikat) dari pemutakhiran perangkat lunak ini menginstal berkas yang memiliki atribut yang tercantum dalam tabel berikut.

Catatan Atribut berkas Windows Server 2012, lihat pemutakhiran 3160352 keamanan.