Vous êtes invité par intermittence des informations d’identification ou rencontrez des délais d’attente lorsque vous vous connectez aux Services d’authentification

Symptômes

Vous pouvez rencontrer un ou plusieurs des problèmes suivants. Ces problèmes peuvent être continue ou intermittente. Ces symptômes sont plus probables et plus répandues pendant les heures de « utilisation élevée », tel qu’au début d’une activité à jour lors de le charge accrue du client se produit sur les serveurs de l’environnement.

Vous pouvez rencontrer les problèmes suivants dans un scénario de services web : vous pouvez rencontrer les problèmes suivants dans un scénario de proxy web : vous pouvez rencontrer les problèmes suivants dans un scénario de client Exchange : vous pouvez rencontrer le problème suivant dans tout scénario dans lequel NTLM, l’authentification est utilisée pour les applications :

Secteur d’activité ou des applications personnalisées qui utilisent l’authentification NTLM échoue. En outre, vous pouvez recevoir des erreurs différentes qui sont intermittentes et peuvent inclure des « accès refusé ».Vous pouvez rencontrer le problème suivant dans un scénario d’accès aux fichiers à distance :

Les clients Windows reçoivent des erreurs « accès refusé » ou différée des réponses du serveur de fichiers.Vous pouvez rencontrer le problème suivant dans n’importe quel scénario dans lequel la délégation Kerberos est utilisée dans un service de niveau intermédiaire :

Les clients accéder correctement au premier abord, mais ensuite perdent l’accès aux mêmes ressources. En outre, vous pouvez être invité à plusieurs reprises des informations d’identification ou rencontrez des erreurs « accès refusé ».Remarques

Cause

Ce problème se produit lorsqu’un volume élevé de l’authentification NTLM ou transactions de validation Kerberos PAC (ou les deux) se produisent sur un serveur Windows, et ce volume est plus grand que le volume qui peut être traité simultanément par le serveur membre ou par les contrôleurs de domaine qui fournissent l’authentification. En d’autres termes, cela est dû à un goulot d’étranglement d’authentification.

L’authentification NTLM et validation de charbons activés en poudre sont effectués par des threads dédiés dans le processus Lsass.exe sur les ordinateurs Windows. Il existe un nombre maximal de ces threads disponibles traiter ces demandes en même temps, et si les demandes dépassent la disponibilité des threads et les demandes ne peuvent pas attendre plus longtemps, ce problème se produit.

Par défaut, stations de travail ont un des threads disponibles et serveurs membres possèdent deux threads disponibles pour utilisation. Contrôleurs de domaine ont un thread disponible par canal de sécurité à des domaines approuvés. Le nombre maximal de threads qui sont dédiés à cet effet est appelé « Maxconcurrentapi » et est configurable.

Résolution

Pour résoudre ce problème, utilisez une ou plusieurs des méthodes suivantes :

• Installez le correctif suivant et suivez les étapes décrites dans la section «informations du Registre». Après avoir installé ce correctif sur Windows Vista, Windows Server 2008, Windows 7 ou Windows Server 2008 R2, la limite maximum de connexions simultanées entre un ordinateur client et un autre serveur ou un contrôleur de domaine pour l’authentification NTLM ou validation de charbons activés en poudre peut-être être modifié jusqu'à 150. Cela doit être effectué sur tous les serveurs qui exposent le Perfmon Netlogon « délai d’attente de sémaphore » les indications dans les journaux de performances ou qui ont le « NlpUserValidateHigher : Impossible d’allouer un emplacement de l’API cliente » texte dans leurs journaux de débogage de Netlogon.

• Pour les applications et les services qui utilisent NTLM, simplement les configurer pour utiliser à la place de l’authentification Kerberos. Les méthodes à suivre qui seront uniques à ces applications.

Remarque Pour décider quelle valeur à définir pour le MaxConcurrentApi paramètre dans votre environnement reportez-vous à l’article ci-dessous de la Base de connaissances.

2688798 comment faire le réglage des performances pour l’authentification NTLM en utilisant le paramètre MaxConcurrentApi

État

Microsoft a confirmé l'existence de ce problème dans les produits Microsoft répertoriés dans la section « S'applique à ».

Plus d'informations

Ce correctif est inclus dans Windows 7 Service Pack 1 (SP1) et Windows Server 2008 R2 Service Pack 1 (SP1).

Le paramètre MaxConcurrentApi et les paramètres par défaut pour celui-ci sont hérités de Windows 2000 et des capacités matérielles limitées de ce laps de temps. Avec un matériel plus ancien, permettant des threads supplémentaires et le trafic RPC qu'ils générerait a été un problème sérieux et il a été possible de goulots d’étranglement de performances si trop de threads ont été créés. Avec nouvelles plates-formes matérielles et des performances améliorées, cette limitation de performances du matériel est moins susceptible de se produire. Comme toujours, il est important de mesurer et de comprendre les performances des serveurs dans un environnement avant d’augmenter la charge potentielle en utilisant un paramètre MaxConcurrentApi élevé.

Pour plus d’informations sur l’utilisation du service Netlogon (Netlogon.log) d’enregistrement de débogage, cliquez sur le numéro ci-dessous pour afficher l’article correspondant dans la Base de connaissances Microsoft :

109626 activation l’enregistrement pour le service Net Logon de débogageUne étape de réduction supplémentaire peut être effectuée sur les contrôleurs de domaine Windows Server 2003 qui ont des écritures dans leur journal de débogage du service Netlogon qui indiquent que les clients doivent envoyer < null > \nom d’utilisateur au lieu de nom_domaine\nom d’utilisateur. Les étapes sont décrites dans l’article suivant de la Base de connaissances Microsoft :

923241 processus Lsass.exe le peut cesser de répondre si vous avez plusieurs approbations externes sur un contrôleur de domaine Windows Server 2003Plus d’informations sur l’utilisation de l’objet de surveillance de Performance de l’accès réseau sont disponibles, avec une mise à jour pour ajouter cet objet de Performance dans Windows Server 2003. Il existe une mise à jour pour Windows Server 2003 qui vous permet de surveiller la vitesse et le débit d’authentifications NTLM. Pour plus d'informations, cliquez sur le numéro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft :

928576 nouveaux compteurs de performance de Windows Server 2003 vous permettent de surveiller les performances d’authentification d’accès réseau

Il existe une mise à jour pour Windows Server 2008 R2 qui introduit de nouveaux événements pour effectuer le suivi de la surcharge de l’API de Netlogoan :

Les nouvelles entrées de journal des événements de suivi des délais d’authentification NTLM et échecs dans Windows Server 2008 R2 sont disponibles
http://support.Microsoft.com/default.aspx?scid=KB; EN-US ; 2654097
Pour plus d'informations sur la terminologie de mise à jour logicielle, cliquez sur le numéro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft :

824684

Description de la terminologie standard utilisée pour décrire les mises à jour logicielles de Microsoft