Perdita di memoria nel processo LSASS su controller di dominio basato su Windows Server 2012 R2 e un server AD LDS

Sintomi

Nella versione di Windows Server 2012 R2 di servizi di Directory è stata introdotta una nuova allocazione di memoria heap arena. Causa una perdita di memoria in Lsass.exe (il ruolo di controller di dominio) e DsaMain.exe del processo di Lightweight Directory Service (LDS) che potrebbe utilizzare tutta la memoria disponibile sul controller di dominio Windows Server 2012 R2 o server AD LDS.

Causa

Questo problema si verifica nelle situazioni seguenti:

• Promozione a domain controller o aggiunta LDS replica alla configurazione impostata
  
  Dopo l'aggiunta di una replica di una configurazione dal controller di dominio o l'aggiunta di un'istanza di LDS in Windows Server 2012 R2 o Windows 8.1, il motore di replica deve replicare tutti gli oggetti nei contesti di denominazione necessarie su una nuova istanza. Durante l'attività, processo LSASS Local Security Authority Server Service () o DsaMain.exe può causare una grave perdita quando alloca virtuale byte vincolati, sebbene l'utilizzo reale è molto bassa. Inoltre, Dcpromo. log Mostra il seguente messaggio di errore:

  
  Dataora[INFO] la replica dei dati DC = Contoso,DC = com: i valori di nome (DN) di distinguere ricevuti XXXXXX da circa XXXXXX oggetti e XXXXXX da circa XXXXXX ...
  
  Data ora [avviso] Non critica replica restituiti 14
  

  
  Codice errore 14 viene convertita in: 14L - memoria insufficiente è disponibile per completare l'operazione.
  
  Il seguente evento viene registrato nel registro eventi durante o subito dopo dcpromo termina:

  Registro eventi	Origine eventi	ID	Descrizione
  Servizi di directory	Replica	2094	Avviso di prestazioni: la replica è stata ritardata durante l'applicazione delle modifiche all'oggetto seguente. Se questo messaggio si verifica frequentemente, significa che la replica è lenta e che il server potrebbe essere difficile mantenersi aggiornati sulle modifiche. Oggetto DN: CN =nome Client, OU =OU, DC =Contoso, DC =com GUID oggetto: GUID Partizione DN: DC =Contoso, DC =com Record DNS msdcs del partner di replica del server: Tempo trascorso (sec): XX Azione dell'utente Una ragione comune per la visualizzazione di questo ritardo è che questo oggetto è particolarmente grande, le dimensioni dei relativi valori, o il numero di valori. È innanzitutto necessario considerare se l'applicazione può essere modificato per ridurre la quantità di dati memorizzati sull'oggetto o il numero di valori. Se si tratta di un gruppo o lista di distribuzione, è possibile generare il livello funzionale di foresta a Windows Server 2003 o versione successiva, poiché in questo modo la replica per un utilizzo più efficiente. È opportuno valutare se la piattaforma server offre prestazioni sufficienti in termini di potenza di elaborazione e memoria. Infine, si consiglia di considerare l'ottimizzazione del database di Active Directory Domain Services spostando il database e registri per separare le partizioni del disco. Se si desidera modificare il limite di avviso, la chiave del Registro di sistema è incluso di seguito. Un valore pari a zero disattiverà il controllo. Dati aggiuntivi Il limite di avviso (sec): XX Chiave di registro: limite System\CurrentControlSet\Services\NTDS\Parameters\Replicator massimo di attesa per l'oggetto di aggiornamento (sec)
  Servizi di directory	KCC	1308	Il controllo di coerenza informazioni (KCC) ha rilevato che tentativi successivi di replicare con il seguente servizio di directory non riuscita in modo coerente. Tentativi: 2 Servizio di directory: CN = Impostazioni NTDS, CN =DC001, CN =server, CN =sito1, CN =siti, CN =configurazione, DC =Contoso, DC =com Periodo di tempo (minuti): XXXXXXX L'oggetto di connessione per il servizio di directory verrà ignorato e viene stabilita una nuova connessione temporanea per garantire che la replica continua. Una volta riprende la replica con il servizio di directory, la connessione temporanea verrà rimossa. Dati aggiuntivi Valore di errore: 14 non disponibile spazio sufficiente completare l'operazione.

  
  Nota: Il problema non si verifica se la promozione di supporto (IFM) di installazione per i controller di dominio viene utilizzato. Tuttavia, promozione IFM deve derivare dalla stessa versione del sistema operativo.

• Il seguente evento viene registrato nel registro eventi durante o subito dopo dcpromo termina:

  Registro eventi	Origine eventi	ID	Descrizione
  Servizi di directory	Replica	2094	Avviso di prestazioni: la replica è stata ritardata durante l'applicazione delle modifiche all'oggetto seguente. Se questo messaggio si verifica frequentemente, significa che la replica è lenta e che il server potrebbe essere difficile mantenersi aggiornati sulle modifiche. Oggetto DN: CN =nome Client, OU =OU, DC =Contoso, DC =com GUID oggetto: GUID Partizione DN: DC =Contoso, DC =com Record DNS msdcs del partner di replica del server: Tempo trascorso (sec): XX Azione dell'utente Una ragione comune per la visualizzazione di questo ritardo è che questo oggetto è particolarmente grande, le dimensioni dei relativi valori, o il numero di valori. È innanzitutto necessario considerare se l'applicazione può essere modificato per ridurre la quantità di dati memorizzati sull'oggetto o il numero di valori. Se si tratta di un gruppo o lista di distribuzione, è possibile generare il livello funzionale di foresta a Windows Server 2003 o versione successiva, poiché in questo modo la replica per un utilizzo più efficiente. È opportuno valutare se la piattaforma server offre prestazioni sufficienti in termini di potenza di elaborazione e memoria. Infine, si consiglia di considerare l'ottimizzazione del database di Active Directory Domain Services spostando il database e registri per separare le partizioni del disco. Se si desidera modificare il limite di avviso, la chiave del Registro di sistema è incluso di seguito. Un valore pari a zero disattiverà il controllo. Dati aggiuntivi Il limite di avviso (sec): XX Chiave di registro: limite System\CurrentControlSet\Services\NTDS\Parameters\Replicator massimo di attesa per l'oggetto di aggiornamento (sec)
  Servizi di directory	KCC	1308	Il controllo di coerenza informazioni (KCC) ha rilevato che tentativi successivi di replicare con il seguente servizio di directory non riuscita in modo coerente. Tentativi: 2 Servizio di directory: CN = Impostazioni NTDS, CN =DC001, CN =server, CN =sito1, CN =siti, CN =configurazione, DC =Contoso, DC =com Periodo di tempo (minuti): XXXXXXX L'oggetto di connessione per il servizio di directory verrà ignorato e viene stabilita una nuova connessione temporanea per garantire che la replica continua. Una volta riprende la replica con il servizio di directory, la connessione temporanea verrà rimossa. Dati aggiuntivi Valore di errore: 14 non disponibile spazio sufficiente completare l'operazione.

  
  Nota: Il problema non si verifica se la promozione di supporto (IFM) di installazione per i controller di dominio viene utilizzato. Tuttavia, promozione IFM deve derivare dalla stessa versione del sistema operativo.

• Codice errore 14 viene convertita in: 14L - memoria insufficiente è disponibile per completare l'operazione. Il seguente evento viene registrato nel registro eventi durante o subito dopo dcpromo termina:

  Registro eventi	Origine eventi	ID	Descrizione
  Servizi di directory	Replica	2094	Avviso di prestazioni: la replica è stata ritardata durante l'applicazione delle modifiche all'oggetto seguente. Se questo messaggio si verifica frequentemente, significa che la replica è lenta e che il server potrebbe essere difficile mantenersi aggiornati sulle modifiche. Oggetto DN: CN =nome Client, OU =OU, DC =Contoso, DC =com GUID oggetto: GUID Partizione DN: DC =Contoso, DC =com Record DNS msdcs del partner di replica del server: Tempo trascorso (sec): XX Azione dell'utente Una ragione comune per la visualizzazione di questo ritardo è che questo oggetto è particolarmente grande, le dimensioni dei relativi valori, o il numero di valori. È innanzitutto necessario considerare se l'applicazione può essere modificato per ridurre la quantità di dati memorizzati sull'oggetto o il numero di valori. Se si tratta di un gruppo o lista di distribuzione, è possibile generare il livello funzionale di foresta a Windows Server 2003 o versione successiva, poiché in questo modo la replica per un utilizzo più efficiente. È opportuno valutare se la piattaforma server offre prestazioni sufficienti in termini di potenza di elaborazione e memoria. Infine, si consiglia di considerare l'ottimizzazione del database di Active Directory Domain Services spostando il database e registri per separare le partizioni del disco. Se si desidera modificare il limite di avviso, la chiave del Registro di sistema è incluso di seguito. Un valore pari a zero disattiverà il controllo. Dati aggiuntivi Il limite di avviso (sec): XX Chiave di registro: limite System\CurrentControlSet\Services\NTDS\Parameters\Replicator massimo di attesa per l'oggetto di aggiornamento (sec)
  Servizi di directory	KCC	1308	Il controllo di coerenza informazioni (KCC) ha rilevato che tentativi successivi di replicare con il seguente servizio di directory non riuscita in modo coerente. Tentativi: 2 Servizio di directory: CN = Impostazioni NTDS, CN =DC001, CN =server, CN =sito1, CN =siti, CN =configurazione, DC =Contoso, DC =com Periodo di tempo (minuti): XXXXXXX L'oggetto di connessione per il servizio di directory verrà ignorato e viene stabilita una nuova connessione temporanea per garantire che la replica continua. Una volta riprende la replica con il servizio di directory, la connessione temporanea verrà rimossa. Dati aggiuntivi Valore di errore: 14 non disponibile spazio sufficiente completare l'operazione.

  
  Nota: Il problema non si verifica se la promozione di supporto (IFM) di installazione per i controller di dominio viene utilizzato. Tuttavia, promozione IFM deve derivare dalla stessa versione del sistema operativo.

• Propagazione descrittore (SD) di protezione
  
  Un problema di perdita di memoria può verificarsi quando una modifica della protezione su un oggetto contenitore (directory principale del dominio o unità organizzativa (OU)) viene ereditata dal numero di oggetti figlio o subordinate OU tuttavia propagazione SD. A seconda della voce di controllo di accesso (ACE) per modificare la dimensione e il numero di oggetti (ad esempio, 500.000), la propagazione potrebbe richiedere molto tempo. Durante questo periodo, il processo LSASS o DsaMain può allocare costantemente byte vincolati.

• Query con esecuzione prolungata
  
  In modo imprevisto consumo elevato della memoria virtuale durante le query Lightweight Directory Access Protocol (LDAP) lunga sui server Windows Server 2012 R2 o basato su Windows 8.1 LDAP può causare interruzioni della memoria. La query con esecuzione prolungata occupano memoria ottenendo un heap per il descrittore di protezione di ogni oggetto toccato.

In questi casi, quando i byte vincolati raggiungono il numero di byte disponibili, il sistema diventa inutilizzabile e potrebbe addirittura bloccarsi.

Risoluzione

Per risolvere questo problema, applicare l'hotfix menzionato nella sezione seguente.

Per utilizzare l'aggiornamento rapido nel contesto di promozioni di Controller di dominio (DCPROMO), attenersi alla seguente procedura:

1. Installare il ruolo Servizi di dominio Active Directory o AD LDS.

2. Installare questo aggiornamento o gli aggiornamenti più recenti di Windows Server 2012 R2 e aggiornamenti di protezione che contengono la stessa Ntdsai.dll binario così come sono sempre cumulative.

3. Promuovere il computer a uno stato di controller di dominio.

Importante Se si installa un language pack dopo aver installato questo hotfix, è necessario reinstallare questo aggiornamento rapido. Pertanto, si consiglia di installare qualsiasi language pack necessari prima di installare questo hotfix. Per ulteriori informazioni, vedere aggiunta di language pack per Windows.

Stato

Microsoft ha confermato che questo è un problema dei prodotti Microsoft elencati nella sezione "Si applica a".

Ulteriori informazioni

Se si attiva NTDS\Diagnostics "9 Internal Processing" livello 2 come indicato nell' articolo della Microsoft Knowledge Base 314980, si possono vedere i seguenti eventi di ActiveDirectory_DomainService. Questi eventi Mostra attività di propagazione SD a esecuzione prolungata.

Evento 1257 - che indica l'inizio di propagazione SD
Evento interno: attività di propagazione del descrittore di protezione elabora un evento di propagazione a partire dal seguente contenitore.
Contenitore: OU = OU, DC = Contoso, DC = com

Eventi 2007 - che indica lo stato di avanzamento di propagazione SD, ogni 5 minuti
Evento interno: attività di propagazione del descrittore di protezione ha raggiunto il seguente contenitore e continuerà con la propagazione.
Contenitore: OU = OU, DC = Contoso, DC = com
Numero di oggetti elaborati finora: XXXXXX

Evento 1258 - che indica la fine di propagazione SD, dopo alcune ore.
Evento interno: attività di propagazione del descrittore di protezione ha terminato l'elaborazione di un evento di propagazione a partire dal seguente contenitore.
Contenitore: OU = OU, DC = Contoso, DC = com
Numero di oggetti elaborati: ZZZZZZ

Dopo la replica di Active Directory per qualsiasi altro controller di dominio basato su Windows Server 2012 R2 o istanze LDS del dominio, lo stesso problema può verificarsi perché la propagazione di SD viene eseguita localmente.

Sarà possibile vedere che la perdita di memoria in Active Directory Collector impostare Report perché viene utilizzato solo byte. Tuttavia, è possibile utilizzare il creato dati blog controllo dei file contatore oggetto: processo di performance monitor, istanza: Lsass, contatore: byte privati e memoria: oggetto, contatore: byte vincolati.

Per osservazione più lungo dello sviluppo perdita, è possibile utilizzare un grafico"con l'esempio di proprietà, elementi grafici, Performance Monitor" ogni 60 secondi. Durata: 15.000 secondi (> 4 ore).

L'allocazione crescente può essere osservato anche in Task Manager, prestazioni, scheda articolo, memoria, approvata. Viene visualizzato sotto approvata/disponibile gigabyte (GB).

Gli indicatori della condizione di errore sono le seguenti:

repadmin /showrepl restituisce:

Servizio directory Registra eventi di errore 1699:

Popup dell'applicazione:

Riferimenti

Informazioni sulla terminologia utilizzata da Microsoft per descrivere gli aggiornamenti software.

Informazioni sui file

La versione inglese (Stati Uniti) di questo aggiornamento software consente di installare file con gli attributi elencati nelle tabelle seguenti. Le date e ore dei file sono elencate in base al formato UTC (Coordinated Universal Time Coordinated). Si tenga presente che le date e ore dei file sul computer locale vengono visualizzate nell'ora locale e con la differenza dell'ora legale. Date e ore potrebbero cambiare anche quando si eseguono determinate operazioni sui file.