Ζητείται κατά διαστήματα διαπιστευτήρια ή αντιμετωπίσετε διακοπές κατά τη σύνδεση σε υπηρεσίες με έλεγχο ταυτότητας

Συμπτώματα

Ενδέχεται να αντιμετωπίσετε ένα ή περισσότερα από τα ακόλουθα συμπτώματα. Αυτά τα συμπτώματα ενδέχεται να περιοδικά ή συνεχή. Αυτά τα συμπτώματα είναι πιθανότερο και πιο διαδεδομένες σε περιόδους "υψηλή χρήση", όπως στην αρχή μιας επιχείρησης προκύπτει ημέρα όταν η φόρτωση αυξημένη προγράμματος-πελάτη στους διακομιστές στο περιβάλλον.

Ενδέχεται να αντιμετωπίσετε τα ακόλουθα ζητήματα σε ένα σενάριο υπηρεσίες web: ενδέχεται να αντιμετωπίσετε τα ακόλουθα ζητήματα σε ένα σενάριο μεσολάβησης web: ενδέχεται να αντιμετωπίσετε τα ακόλουθα ζητήματα σε ένα σενάριο πελάτη Exchange: ενδέχεται να αντιμετωπίσετε το ακόλουθο θέμα σε κάθε σενάριο στο οποίο NTLM έλεγχος ταυτότητας χρησιμοποιείται για εφαρμογές:

Γραμμή της επιχείρησης ή προσαρμοσμένες εφαρμογές που χρησιμοποιούν έλεγχο ταυτότητας NTLM αποτύχει. Επιπλέον, ενδέχεται να λάβετε διάφορα σφάλματα που είναι περιοδικά και ενδέχεται να περιλαμβάνουν "δεν επιτρέπεται η πρόσβαση."Ενδέχεται να αντιμετωπίσετε το ακόλουθο ζήτημα σε ένα σενάριο πρόσβασης απομακρυσμένο αρχείο:

Τα προγράμματα-πελάτες των Windows "δεν επιτρέπεται η πρόσβαση" σφάλματα ή καθυστερημένη ανταπόκριση από το διακομιστή αρχείων.Ενδέχεται να αντιμετωπίσετε το ακόλουθο θέμα σε κάθε σενάριο στο οποίο αντιπροσώπευσης Kerberos χρησιμοποιείται σε μια υπηρεσία μεσαίου επιπέδου:

Οι υπολογιστές-πελάτες αποκτούν πρόσβαση με επιτυχία στην αρχή αλλά χάσετε την πρόσβαση στους ίδιους πόρους. Επιπλέον, ενδέχεται να σας ζητηθεί επανειλημμένα πιστοποιήσεις ή αντιμετωπίσετε σφάλματα "δεν επιτρέπεται η πρόσβαση".Σημειώσεις

Αιτία

Αυτό το ζήτημα προκύπτει όταν ο έλεγχος ταυτότητας NTLM μεγάλο όγκο ή πράξεις επικύρωσης Kerberos PAC (ή και τα δύο) που παρουσιάζονται σε ένα διακομιστή που βασίζεται σε Windows και ο τόμος είναι μεγαλύτερος από τον όγκο που μπορεί να χειριστεί κάθε φορά από το διακομιστή-μέλος ή των ελεγκτών τομέα που παρέχετε ελέγχου ταυτότητας. Με άλλα λόγια, αυτό προκαλείται από ένα συνωστισμό πόρου ελέγχου ταυτότητας.

Ο έλεγχος ταυτότητας NTLM και επικύρωση PAC εκτελούνται από αποκλειστικό νήματα της διεργασίας Lsass.exe σε υπολογιστές που βασίζονται στα Windows. Υπάρχει ένα μέγιστο αριθμό αυτά τα νήματα που είναι διαθέσιμες για το χειρισμό αυτές τις αιτήσεις ταυτόχρονα και αν οι αιτήσεις υπερβαίνουν τη διαθεσιμότητα τα νήματα και δεν περιμένετε πλέον τις αιτήσεις, αυτό το ζήτημα παρουσιάζεται.

Από προεπιλογή, σταθμοί εργασίας έχουν ένα από τα νήματα που είναι διαθέσιμο για χρήση και διακομιστές-μέλη έχουν δύο από τα νήματα που είναι διαθέσιμη για χρήση. Ελεγκτές τομέα έχουν ένα διαθέσιμο νήμα ανά κανάλι ασφαλείας με αξιόπιστους τομείς. Το μέγιστο αριθμό νημάτων που προορίζονται αποκλειστικά για το σκοπό αυτό είναι γνωστό ως "Maxconcurrentapi" και είναι δυνατόν να ρυθμιστεί.

Προτεινόμενη αντιμετώπιση

Για να επιλύσετε το ζήτημα, χρησιμοποιήστε μία ή περισσότερες από τις ακόλουθες μεθόδους:

• Εγκαταστήστε την ακόλουθη επείγουσα επιδιόρθωση και, στη συνέχεια, ακολουθήστε τα βήματα που περιγράφονται στην ενότητα "πληροφορίες μητρώου". Μετά την εγκατάσταση αυτής της επείγουσας επιδιόρθωσης για τα Windows Vista, Windows Server 2008, Windows 7 ή Windows Server 2008 R2, maximumlimit ταυτόχρονων συνδέσεων μεταξύ ενός υπολογιστή-πελάτη και ενός άλλου διακομιστή ή ελεγκτή τομέα για τον έλεγχο ταυτότητας NTLM ή επικύρωσης PAC μπορεί να αλλάξει μέχρι 150. Αυτό πρέπει να γίνει σε όλους τους διακομιστές που παρουσιάζουν Perfmon Netlogon ενδείξεις "σηματοφορέα χρονικού ορίου" τα αρχεία καταγραφής επιδόσεων ή που έχουν την "NlpUserValidateHigher: δεν είναι δυνατή η εκχώρηση υποδοχή προγράμματος-πελάτη API" κείμενο σε τα αρχεία καταγραφής εντοπισμού σφαλμάτων Netlogon.

• Για εφαρμογές και υπηρεσίες που χρησιμοποιούν NTLM, ρύθμιση παραμέτρων να χρησιμοποιούν τον έλεγχο ταυτότητας Kerberos αντί του. Οι μέθοδοι για να το κάνετε, που θα είναι μοναδικές για αυτές τις εφαρμογές.

Σημείωση Για να αποφασίσετε ποια τιμή για να ορίσετε για το MaxConcurrentApi ρύθμιση στο περιβάλλον σας, ανατρέξτε στο παρακάτω άρθρο της Γνωσιακής βάσης.

2688798 πώς να το κάνετε ρύθμιση απόδοσης για τον έλεγχο ταυτότητας NTLM, χρησιμοποιώντας τη ρύθμιση MaxConcurrentApi

Κατάσταση

Η Microsoft έχει επιβεβαιώσει ότι πρόκειται για ένα ζήτημα των προϊόντων της Microsoft που παρατίθενται στην ενότητα "Ισχύει για".

Περισσότερες πληροφορίες

Αυτή η επείγουσα επιδιόρθωση περιλαμβάνεται στο Windows 7 Service Pack 1 (SP1) και στο Windows Server 2008 R2 Service Pack 1 (SP1).

Η ρύθμιση MaxConcurrentApi και τις προεπιλεγμένες ρυθμίσεις για το σκοπό αυτό είναι παλαιού τύπου των Windows 2000 και τις δυνατότητες του περιορισμένου υλικού του εκείνη τη στιγμή. Με παλαιότερο υλικό, προβλέποντας επιπλέον νήματα και την κυκλοφορία RPC θα δημιουργούν ήταν μια σοβαρή ανησυχία και υπήρχε πιθανότητα των συμφορήσεων των επιδόσεων, εάν δημιουργήθηκαν πάρα πολλά νήματα. Με νεότερη πλατφόρμες υλικού και βελτιωμένες επιδόσεις, ο περιορισμός απόδοση υλικού είναι λιγότερο πιθανό να συμβεί. Όπως πάντα, είναι σημαντικό να μετρήσετε και να κατανοήσετε την απόδοση των διακομιστών σε ένα περιβάλλον για να αυξήσετε το φορτίο πιθανά χρησιμοποιώντας μια υψηλή ρύθμιση MaxConcurrentApi .

Για περισσότερες πληροφορίες σχετικά με τον τρόπο χρήσης της υπηρεσίας Netlogon (Netlogon.log) του καταγραφή εντοπισμού σφαλμάτων, κάντε κλικ στον αριθμό του άρθρου παρακάτω, για να προβάλετε το άρθρο της Γνωσιακής Βάσης της Microsoft:

109626 Ενεργοποίηση ο εντοπισμός σφαλμάτων του αρχείου καταγραφής για την υπηρεσία σύνδεσης δικτύουΈνα επιπλέον βήμα lessening μπορεί να εκτελεστεί σε ελεγκτές τομέα που βασίζεται σε Windows Server 2003 που έχουν καταχωρήσεις στο αρχείο καταγραφής εντοπισμού σφαλμάτων της υπηρεσίας τους Netlogon που δηλώνουν ότι οι υπολογιστές-πελάτες υποβάλετε < null > \όνομα χρήστη αντί για όνομα_τομέα\όνομα χρήστη. Τα βήματα περιγράφονται στο ακόλουθο άρθρο της Γνωσιακής Βάσης της Microsoft:

923241 διαδικασία του Lsass.exe ενδέχεται να σταματήσει να ανταποκρίνεται, εάν έχετε πολλές εξωτερικές σχέσεις αξιοπιστίας σε έναν ελεγκτή τομέα που βασίζεται σε Windows Server 2003Περισσότερες πληροφορίες σχετικά με το πώς μπορείτε να χρησιμοποιήσετε το αντικείμενο παρακολούθησης επιδόσεων Netlogon είναι διαθέσιμη, μαζί με μια ενημερωμένη έκδοση για να προσθέσετε αυτό το αντικείμενο επιδόσεων στον Windows Server 2003. Υπάρχει μια ενημερωμένη έκδοση για Windows Server 2003 που σας επιτρέπει να παρακολουθείτε την ταχύτητα και την ταχύτητα μεταγωγής ελέγχων ταυτότητας NTLM. Για περισσότερες πληροφορίες, κάντε κλικ στον αριθμό του άρθρου παρακάτω, για να προβάλετε το άρθρο της Γνωσιακής Βάσης της Microsoft:

928576 νέα μετρητές επιδόσεων για τον Windows Server 2003 σάς επιτρέπουν να παρακολουθούν τις επιδόσεις του ελέγχου ταυτότητας Netlogon

Υπάρχει μια ενημερωμένη έκδοση για Windows Server 2008 R2 που εισάγει νέα συμβάντα για την παρακολούθηση των Netlogoan API υπερφόρτωσης:

Διατίθενται νέες εγγραφές καταγραφής που παρακολουθούν τις καθυστερήσεις τον έλεγχο ταυτότητας NTLM και αποτυχίες στον Windows Server 2008 R2
http://support.Microsoft.com/default.aspx?scid=KB; EN-US; 2654097
Για περισσότερες πληροφορίες σχετικά με την ορολογία των ενημερώσεων λογισμικού, κάντε κλικ στον αριθμό του άρθρου παρακάτω, για να προβάλετε το άρθρο στη Γνωσιακή Βάση της Microsoft:

824684

Περιγραφή της βασικής ορολογίας που χρησιμοποιείται για την περιγραφή ενημερώσεων λογισμικού της Microsoft