Du bedt bli om påloggingsinformasjon eller opplever tidsavbrudd når du kobler til godkjente tjenester

Symptomer

Ett eller flere av følgende symptomer kan oppstå. Disse symptomene kan være forbigående eller kontinuerlig. Disse symptomene er mer sannsynlig og mer omfattende tider "høyt forbruk", som i begynnelsen av en bedrift dag når økt klient laste oppstår på servere i miljøet.

Du opplever følgende problemer i et scenario for web-tjenester: kan du oppleve følgende problemer i et scenario for web-proxy: kan du oppleve følgende problemer i et Exchange client-scenario: kan du oppleve følgende problem i ethvert scenario i hvilke NTLM-godkjenning brukes for programmer:

Linje med business eller egendefinerte programmer som bruker NTLM-godkjenning mislykkes. Du kan også få ulike feil som er midlertidige og kan inkludere "access denied"Du kan oppleve følgende problem i et scenario for ekstern fil tilgang:

Windows-klienter mottar feil "Ingen tilgang" eller forsinket svar fra filserveren.Du kan oppleve følgende problem i ethvert scenario der Kerberos-delegering som brukes i en service av midterste laget:

Klienter få tilgang ble i begynnelsen, men deretter mister tilgangen til de samme ressursene. Du kan i tillegg kanskje flere ganger spørres om legitimasjon eller oppleve "Ingen tilgang"-feil.Notater

Årsak

Dette problemet oppstår når et stort antall NTLM-godkjenning eller Kerberos PAC validering av transaksjoner (eller begge) som oppstår på en Windows-basert server, og at volumet er større enn volumet som kan behandles om gangen av medlemsserver eller domenekontrollere som gir godkjenning. Med andre ord, skyldes dette en ressurs flaskehalsen for godkjenning.

NTLM-godkjenning og validering av PAC er utført av dedikerte trådene i prosessen Lsass.exe i Windows-baserte datamaskiner. Det finnes et maksimalt antall disse trådene som er tilgjengelig for å håndtere disse forespørslene om gangen, og hvis forespørsler overskride tilgjengeligheten av tråder og forespørsler kan ikke vente lenger, dette problemet oppstår.

Arbeidsstasjoner har en av tråder som er tilgjengelig for bruk som standard, og medlemsservere har to tråder som er tilgjengelig for bruk. Domenekontrollere har én tilgjengelig tråd per sikkerhetskanal til klarerte domener. Denne maksimalt antall tråder som er dedikert til dette formålet, kalles "Maxconcurrentapi" og konfigureres.

Oppløsning

Hvis du vil løse problemet, kan du bruke én eller flere av følgende metoder:

• Installer følgende hurtigreparasjon, og følg deretter trinnene som er beskrevet i delen "informasjonen i registeret". Når du installerer denne hurtigreparasjonen på Windows Vista, Windows Server 2008, Windows 7 eller Windows Server 2008 R2, maximumlimit samtidige tilkoblinger mellom en klientdatamaskin og en annen server eller en domenekontroller for NTLM-godkjenning eller PAC-validering kan endres inntil 150. Dette bør gjøres på alle servere som viser Perfmon Netlogon "semafor tidsavbrudd" indikasjoner i sine Ytelseslogger eller som har den "NlpUserValidateHigher: kan ikke tildele klient API spor" tekst i sine Netlogon feilsøkingslogger.

• For programmer og tjenester som bruker NTLM å konfigurere dem til å bruke Kerberos-godkjenning i stedet. Metodene for å gjøre som er unik for disse programmene.

Obs! Se Knowledge Base-artikkelen nedenfor for å finne ut hvilken verdi du angir for MaxConcurrentApi innstillingen i miljøet ditt.

2688798 hvordan du gjør ytelsesjustering for NTLM-godkjenning ved hjelp av innstillingen MaxConcurrentApi

Status

Microsoft har bekreftet at dette er et problem i Microsoft-produktene som er oppført i delen "Gjelder for".

Hvis du vil ha mer informasjon

Denne hurtigreparasjonen er inkludert i Windows 7 Service Pack 1 (SP1) og Windows Server 2008 R2 Service Pack 1 (SP1).

Innstillingen for MaxConcurrentApi og standardinnstillingene for det er en eldre av Windows 2000 og begrenset maskinvareegenskapene for den tiden. Med eldre maskinvare, slik at flere tråder og RPC-trafikk de vil generere var et alvorlig problem, og det var en muligheten for flaskehalser i ytelsen hvis for mange tråder ble opprettet. Den begrensningen for maskinvare ytelsen er mindre sjanse for å oppstå med nyere maskinvareplattformer og forbedret ytelse. Som alltid, er det viktig å måle og forstå ytelsen til servere i et miljø før du øker potensielle belastningen ved hjelp av en høy innstilling for MaxConcurrentApi .

Hvis du vil ha mer informasjon om hvordan du bruker Netlogon-tjenesten debug logging (Netlogon.log), klikker du følgende artikkelnummer for å vise artikkelen i Microsoft Knowledge Base:

109626 aktivere feilsøkingslogging for Net Logon-tjenestenEt ekstra trinn for lessening kan utføres på Windows Server 2003-baserte domenekontrollere som har oppføringer i sine feilsøkingslogg for Netlogon-tjenesten, som angir at klienter som sender < null > \brukernavn i stedet for domenenavn\brukernavn. Trinnene som er beskrevet i følgende Microsoft Knowledge Base-artikkel:

923241 i Lsass.exe-prosessen slutte å svare hvis du har mange eksterne klareringer i et Windows Server 2003-basert domenekontrollerHvis du vil ha mer informasjon om hvordan du bruker Netlogon overvåking Ytelsesobjektet er tilgjengelig, sammen med en oppdatering for å legge til objektet ytelse i Windows Server 2003. Det finnes en oppdatering for Windows Server 2003 som lar deg overvåke hastigheten og gjennomstrømning på NTLM-godkjenninger. Hvis du vil ha mer informasjon, kan du klikke følgende artikkelnummer for å vise artikkelen i Microsoft Knowledge Base:

928576 nye ytelsestellere for Windows Server 2003 kan du overvåke ytelsen til Netlogon-godkjenning

Det finnes en oppdatering for Windows Server 2008 R2 som introduserer nye hendelser for å spore Netlogoan API overbelastning:

Det finnes nye oppføringer i hendelsesloggen som sporer NTLM-godkjenning forsinkelser og feil i Windows Server 2008 R2
http://support.Microsoft.com/default.aspx?scid=kB; EN-US; 2654097
Hvis du vil ha mer informasjon om terminologi for programvareoppdatering, kan du klikke følgende artikkelnummer for å vise artikkelen i Microsoft Knowledge Base:

824684

Beskrivelse av standardterminologien som brukes til å beskrive oppdateringer av Microsoft-programvare