AD LDS 서버와 Windows Server 2012, R2 기반 도메인 컨트롤러에서 LSASS 프로세스에서 메모리 누수

증상

디렉터리 서비스의 Windows Server 2012 R2 버전에서 아레나 힙 메모리 할당을 새로 도입 되었습니다. 메모리 누수가 발생 하면 Lsass.exe (도메인 컨트롤러 역할) 및 Windows Server 2012 R2 도메인 컨트롤러 또는 LDS 서버에 사용 가능한 모든 메모리를 사용할 수 있습니다 가벼운 디렉터리 서비스 (LDS) 공정의 DsaMain.exe에.

원인

다음과 같은 경우에이 문제가 발생합니다.

• 도메인 컨트롤러 프로 모션 또는 집합 LDS 복제본 구성에 추가 합니다.
  
  구성 도메인 컨트롤러 승격 하 여 복제본을 추가 하거나 Windows Server 2012 R2 또는 Windows 8.1 LDS 인스턴스를 추가, 모든 개체의 새 인스턴스에 필요한 명명 컨텍스트를 복제 하려면 복제 엔진에 있습니다. 작업을 하는 동안 로컬 보안 기관 서버 서비스 (LSASS) 프로세스 또는 DsaMain.exe 않을 심각한 누수 실제 사용은 매우 낮은 가상 커밋된 바이트를 할당 하는 경우. 또한 나타나면 DCpromo.log를 다음과 같은 오류 메시지가 보여 줍니다.

  
  날짜시간[INFO] 데이터 복제 DC = Contoso,DC com =: XXXXXX XXXXXX 약 부족 하 고 약 XXXXXX 개체에서 받은 XXXXXX 구별 이름 (DN) 값...
  
  날짜 시간 [경고] 비 중요 한 복제 14 반환
  

  
  오류 코드 14로 변환: ERROR_OUTOFMEMORY-저장소가 부족은이 작업을 완료할 수 없습니다.
  
  하는 동안 이벤트 로그에 다음 이벤트가 기록 됩니다 또는 곧 후 dcpromo를 완료:

  이벤트 로그	이벤트 소스	ID	설명
  디렉터리 서비스	복제	2094	성능 경고: 복제는 다음과 같은 개체에 변경 내용을 적용 하는 동안 지연 되었습니다. 이 메시지는 자주 발생 하는 경우 복제가 느리게 일어나 고 서버 변경에 대처 하는 데 문제가 할 수 있는지 나타냅니다. 개체 DN: CN =클라이언트 이름, OUOU, DC =Contoso, DC =com =. GUID 개체 GUID: 파티션 DN: DC =Contoso, DC =com 복제 파트너의 _msdcs DNS 레코드 서버: 경과 된 시간 (초): XX 사용자 작업 보고이 지연에 대 한 일반적인 이유는이 개체는 값의 수 또는 그 값의 크기에서 큰 특히. 먼저 개체나 값에 저장 된 데이터의 양을 줄이기 위해 응용 프로그램을 변경할 수 있는지를 고려해 야 합니다. 이것이 큰 그룹 또는 메일 그룹을 복제 보다 효율적으로 작업할 수 있게 되므로 포리스트 기능 수준을 Windows Server 2003 이상에서 발생 하는 것이 좋습니다. 서버 플랫폼 메모리 및 처리 용량 측면에서 충분 한 성능을 제공 하는 여부를 평가 해야 합니다. 마지막으로, 데이터베이스와 로그를 별도 디스크 디스크를 이동 하 여 Active Directory 도메인 서비스 데이터베이스를 튜닝 하는 것이 좋습니다. 좋습니다. 경고 제한 값을 변경 하려면 레지스트리 키 아래에 포함 되어 있습니다. 값이 0 이면 검사가 해제 됩니다. 추가 데이터 경고 제한 (초): XX 업데이트 개체 (초)에 대 한 System\CurrentControlSet\Services\NTDS\Parameters\Replicator 최대 대기 제한 레지스트리 키:
  디렉터리 서비스	KCC	1308	정보 일관성 검사기 (KCC)가 다음 디렉터리 서비스를 사용 하 여 복제를 위한 연속적인 시도가 실패 했을 검색 했습니다. 시도 횟수: 2 디렉터리 서비스: CN NTDS Settings, CN =DC001, CN =서버CN =site1, CN =사이트, CN =구성, DC =Contoso, DC =com =. 기간 (분): XXXXXXX 이 디렉터리 서비스에 대 한 연결 개체는 무시 됩니다 및 새 임시 연결을 계속 복제 되도록 설정 됩니다. 이 디렉터리 서비스를 사용 하 여 복제를 다시 시작 되 면 임시 연결이 제거 됩니다. 추가 데이터 오류 값: 14 not 충분 한 저장 공간이이 작업을 완료할 수 없습니다.

  
  참고: 문제가 발생 하지 않습니다 사용 하는 도메인 컨트롤러에 대 한 미디어 (IFM) 프로 모션에서 설치 합니다. 그러나 IFM 승격 동일한 운영 체제 버전의 원본으로 사용할 수는 있습니다.

• 하는 동안 이벤트 로그에 다음 이벤트가 기록 됩니다 또는 곧 후 dcpromo를 완료:

  이벤트 로그	이벤트 소스	ID	설명
  디렉터리 서비스	복제	2094	성능 경고: 복제는 다음과 같은 개체에 변경 내용을 적용 하는 동안 지연 되었습니다. 이 메시지는 자주 발생 하는 경우 복제가 느리게 일어나 고 서버 변경에 대처 하는 데 문제가 할 수 있는지 나타냅니다. 개체 DN: CN =클라이언트 이름, OUOU, DC =Contoso, DC =com =. GUID 개체 GUID: 파티션 DN: DC =Contoso, DC =com 복제 파트너의 _msdcs DNS 레코드 서버: 경과 된 시간 (초): XX 사용자 작업 보고이 지연에 대 한 일반적인 이유는이 개체는 값의 수 또는 그 값의 크기에서 큰 특히. 먼저 개체나 값에 저장 된 데이터의 양을 줄이기 위해 응용 프로그램을 변경할 수 있는지를 고려해 야 합니다. 이것이 큰 그룹 또는 메일 그룹을 복제 보다 효율적으로 작업할 수 있게 되므로 포리스트 기능 수준을 Windows Server 2003 이상에서 발생 하는 것이 좋습니다. 서버 플랫폼 메모리 및 처리 용량 측면에서 충분 한 성능을 제공 하는 여부를 평가 해야 합니다. 마지막으로, 데이터베이스와 로그를 별도 디스크 디스크를 이동 하 여 Active Directory 도메인 서비스 데이터베이스를 튜닝 하는 것이 좋습니다. 좋습니다. 경고 제한 값을 변경 하려면 레지스트리 키 아래에 포함 되어 있습니다. 값이 0 이면 검사가 해제 됩니다. 추가 데이터 경고 제한 (초): XX 업데이트 개체 (초)에 대 한 System\CurrentControlSet\Services\NTDS\Parameters\Replicator 최대 대기 제한 레지스트리 키:
  디렉터리 서비스	KCC	1308	정보 일관성 검사기 (KCC)가 다음 디렉터리 서비스를 사용 하 여 복제를 위한 연속적인 시도가 실패 했을 검색 했습니다. 시도 횟수: 2 디렉터리 서비스: CN NTDS Settings, CN =DC001, CN =서버CN =site1, CN =사이트, CN =구성, DC =Contoso, DC =com =. 기간 (분): XXXXXXX 이 디렉터리 서비스에 대 한 연결 개체는 무시 됩니다 및 새 임시 연결을 계속 복제 되도록 설정 됩니다. 이 디렉터리 서비스를 사용 하 여 복제를 다시 시작 되 면 임시 연결이 제거 됩니다. 추가 데이터 오류 값: 14 not 충분 한 저장 공간이이 작업을 완료할 수 없습니다.

  
  참고: 문제가 발생 하지 않습니다 사용 하는 도메인 컨트롤러에 대 한 미디어 (IFM) 프로 모션에서 설치 합니다. 그러나 IFM 승격 동일한 운영 체제 버전의 원본으로 사용할 수는 있습니다.

• 오류 코드 14로 변환: ERROR_OUTOFMEMORY-저장소가 부족은이 작업을 완료할 수 없습니다. 하는 동안 이벤트 로그에 다음 이벤트가 기록 됩니다 또는 곧 후 dcpromo를 완료:

  이벤트 로그	이벤트 소스	ID	설명
  디렉터리 서비스	복제	2094	성능 경고: 복제는 다음과 같은 개체에 변경 내용을 적용 하는 동안 지연 되었습니다. 이 메시지는 자주 발생 하는 경우 복제가 느리게 일어나 고 서버 변경에 대처 하는 데 문제가 할 수 있는지 나타냅니다. 개체 DN: CN =클라이언트 이름, OUOU, DC =Contoso, DC =com =. GUID 개체 GUID: 파티션 DN: DC =Contoso, DC =com 복제 파트너의 _msdcs DNS 레코드 서버: 경과 된 시간 (초): XX 사용자 작업 보고이 지연에 대 한 일반적인 이유는이 개체는 값의 수 또는 그 값의 크기에서 큰 특히. 먼저 개체나 값에 저장 된 데이터의 양을 줄이기 위해 응용 프로그램을 변경할 수 있는지를 고려해 야 합니다. 이것이 큰 그룹 또는 메일 그룹을 복제 보다 효율적으로 작업할 수 있게 되므로 포리스트 기능 수준을 Windows Server 2003 이상에서 발생 하는 것이 좋습니다. 서버 플랫폼 메모리 및 처리 용량 측면에서 충분 한 성능을 제공 하는 여부를 평가 해야 합니다. 마지막으로, 데이터베이스와 로그를 별도 디스크 디스크를 이동 하 여 Active Directory 도메인 서비스 데이터베이스를 튜닝 하는 것이 좋습니다. 좋습니다. 경고 제한 값을 변경 하려면 레지스트리 키 아래에 포함 되어 있습니다. 값이 0 이면 검사가 해제 됩니다. 추가 데이터 경고 제한 (초): XX 업데이트 개체 (초)에 대 한 System\CurrentControlSet\Services\NTDS\Parameters\Replicator 최대 대기 제한 레지스트리 키:
  디렉터리 서비스	KCC	1308	정보 일관성 검사기 (KCC)가 다음 디렉터리 서비스를 사용 하 여 복제를 위한 연속적인 시도가 실패 했을 검색 했습니다. 시도 횟수: 2 디렉터리 서비스: CN NTDS Settings, CN =DC001, CN =서버CN =site1, CN =사이트, CN =구성, DC =Contoso, DC =com =. 기간 (분): XXXXXXX 이 디렉터리 서비스에 대 한 연결 개체는 무시 됩니다 및 새 임시 연결을 계속 복제 되도록 설정 됩니다. 이 디렉터리 서비스를 사용 하 여 복제를 다시 시작 되 면 임시 연결이 제거 됩니다. 추가 데이터 오류 값: 14 not 충분 한 저장 공간이이 작업을 완료할 수 없습니다.

  
  참고: 문제가 발생 하지 않습니다 사용 하는 도메인 컨트롤러에 대 한 미디어 (IFM) 프로 모션에서 설치 합니다. 그러나 IFM 승격 동일한 운영 체제 버전의 원본으로 사용할 수는 있습니다.

• 보안 설명자 (SD) 전파
  
  메모리 누수 문제를 (루트 도메인 또는 조직 구성 단위 (OU)) 컨테이너 개체에 보안 변경 사항이 많은 자식 개체에 상속 되는 경우에 발생할 수도 있고 하위 Ou 하지만 SD 전파. 전파는 액세스 제어 항목 (ACE)에 변경할 수의 크기와 개체 (예: 500,000)의 수에 따라 시간이 오래 걸릴 수 있습니다. 이 기간 동안 LSASS 프로세스 또는 DsaMain 프로세스 커밋된 바이트를 지속적으로 할당 수 있습니다.

• 장기 실행 쿼리
  
  갑자기 정전 메모리 Windows Server 2012 R2 또는 Windows 8.1 기반 LDAP 서버에서 장기 실행 경량 디렉터리 액세스 프로토콜 (LDAP) 쿼리 하는 동안 가상 메모리가 많이 소비 될 수 있습니다. 장기 실행 쿼리 여 있는 위치의 각 개체의 보안 설명자에 대 한 힙 메모리를 소모 합니다.

이러한 상황에서 커밋된 바이트를 사용할 수 있는 바이트 수에 도달 하면 사용할 수 없게 시스템과 충돌이 발생할 수 있습니다.

해결 방법

이 문제를 해결 하려면 다음 절에 설명 되어 있는 핫픽스를 적용 합니다.

도메인 컨트롤러 승격 (DCPROMO)에서 핫픽스를 사용 하려면 다음과이 같이 하십시오.

1. AD LDS 또는 Active Directory 도메인 서비스 역할을 설치 합니다.

2. 이 업데이트 또는 최신 Windows Server 2012 R2 업데이트와 누적 된 항상 이진 같은 Ntdsai.dll를 포함 하는 보안 업데이트를 설치 합니다.

3. 컴퓨터를 도메인 컨트롤러의 상태를 홍보 합니다.

중요: 이 핫픽스를 설치한 후 언어 팩을 설치한 경우이 핫픽스를 다시 설치 해야 합니다. 따라서 것이 좋습니다 모든 언어를 설치 하면이 핫픽스를 설치 하기 전에 필요한 팩입니다. 자세한 내용은 Windows에 언어 팩 추가를 참조하십시오.

상태

Microsoft는 이 문제가 '적용 대상' 섹션에 나열된 Microsoft 제품의 문제임을 확인했습니다.

자세한 내용

NTDS\Diagnostics "9 내부 처리" 수준 Microsoft 기술 자료 문서 314980의 2를 사용 하면 다음과 같은 ActiveDirectory_DomainService 이벤트를 볼 수 있습니다. 이러한 이벤트 긴 SD 전파 작업을 보여 줍니다.

이벤트 1257 -SD 전파의 시작을 나타내는
내부 이벤트: 보안 설명자 전파 작업이 다음 컨테이너에서 시작 된 전파 이벤트를 처리 합니다.
컨테이너: OU OU, DC = Contoso, DC = com =.

이벤트 2007 -5 분 마다 기록 되는 SD 전파의 진행 상황을 나타내는
내부 이벤트: 보안 설명자 전파 작업이 다음 컨테이너에 도달 하 고 전파를 계속 합니다.
컨테이너: OU OU, DC = Contoso, DC = com =.
지금까지 처리 된 개체 수: XXXXXX

이벤트 1258 -몇 시간 후 SD 전파의 끝을 표시 합니다.
내부 이벤트: 보안 설명자 전파 작업이 다음 컨테이너에서 시작 된 전파 이벤트를 처리를 완료 합니다.
컨테이너: OU OU, DC = Contoso, DC = com =.
처리 된 개체 수: ZZZZZZ

Active Directory 도메인에 있는 LDS 인스턴스 또는 다른 Windows Server 2012, R2 기반 도메인 컨트롤러에 복제 한 후 SD 전파 로컬로 수행 됩니다 같은 문제가 발생할 수 있습니다.

Active Directory 수집기 집합 보고서에서 메모리 누수를 표시 하기 때문에 바이트 사용만 볼 수 없습니다. 그러나, 사용할 수 있습니다 생성된 된 성능 모니터 데이터 BLG 파일 검사 카운터 개체: 프로세스, 인스턴스: Lsass, 카운터: 전용 바이트 및 개체: 메모리 카운터: 커밋된 바이트.

누수가 개발 관찰 하 길, "성능 모니터 그래프 요소 속성 샘플 그래프"를 60 초 마다 사용할 수 있습니다. 재생 시간: 15, 000 초 (> 4 시간).

또한 증가 할당 작업 관리자의 성능탭 항목 메모리, 확정관찰할 수 있습니다. 확정/Available 기가바이트 (GB)이표시 됩니다.

오류 조건 표시기는 다음과 같습니다.

repadmin /showrepl을 반환합니다.

디렉터리 서비스는 1699 오류 이벤트를 기록합니다.

응용 프로그램 팝업:

참조

Microsoft가 소프트웨어 업데이트를 설명하기 위해 사용 하는 용어 에 대해 알아봅니다.

파일 정보

이 소프트웨어 업데이트의 영어(미국) 버전은 다음 표에 나열된 특성을 갖는 파일을 설치합니다. 이러한 파일의 시간과 날짜는 협정 세계시(UTC)로 나열되었습니다. 사용자의 로컬 컴퓨터에서, 이러한 파일에 대한 날짜와 시간은 사용자의 현지 시간 및 현재 일광 절약 시간 설정으로 표시된다는 점에 주의해야 합니다. 날짜와 시간은 사용자가 파일에 대해 특정 작업을 수행할 때 변경 될 수 있습니다.