Minnelekkasje i LSASS-prosessen i Windows Server 2012 R2-baserte domenekontrollere og AD LDS-serveren

Symptomer

En ny arena heap minnetildeling ble innført i Windows Server 2012 R2 versjon av katalogtjenester. Den forårsaker en minnelekkasje i Lsass.exe (rolle for domenekontroller) og DsaMain.exe av Lightweight Directory Service (LDS) prosess som kan oppta alt tilgjengelig minne på Windows Server 2012 R2 domenekontrolleren eller LDS-serveren.

Årsak

Dette problemet oppstår i følgende situasjoner:

• Forfremmelse for domenekontrolleren eller legge til LDS replikaen til konfigurasjonen angi
  
  Etter å legge til en replika i en konfigurasjon av forfremmelse for domenekontrolleren, eller legge til en forekomst av LDS på Windows Server 2012 R2 eller Windows 8.1, har replikering motoren å replikere alle objektene i navngivingskonteksten som trengs på den nye forekomsten. Under oppgaven, kan LSASS Local Security Authority Server Service ()-prosess- eller DsaMain.exe forårsake en alvorlig lekkasje når den tilordner virtuelle tildelte byte, selv om den virkelige bruken er svært lav. DCpromo.log viser i tillegg følgende feilmelding:

  
  tid[INFO] replikering av data DC = Contoso,DC = com: mottok XXXXXX ut omtrent XXXXXX objekter og XXXXXX ut omtrent XXXXXX unikt navn (DN) verdier...
  
  Dato tid [advarsel] ikke kritisk replikering returnerte 14
  

  
  Feilkode 14 oversetter til: ERROR_OUTOFMEMORY - er ikke nok minne til å fullføre denne operasjonen.
  
  Følgende hendelse logges i hendelsesloggen under eller kort tid etter dcpromo er fullført:

  Hendelseslogg	Hendelseskilden	ID	Beskrivelse
  Katalogtjenester	Replikering	2094	Ytelsesadvarsel: replikeringen ble forsinket ved bruk av endringer i følgende objektet. Hvis denne meldingen vises ofte, angir det at replikeringen skjer for sakte, og at serveren kan ha problemer med å holde tritt med endringene. Objektet DN: CN =klientnavnet, OU =OU, DC =Contoso, DC =com GUID -GUID-objektet: Partisjon DN: DC =Contoso, DC =com Server: _msdcs DNS-post for replikasjonspartner Brukt tid (sek): XX Brukerhandling En vanlig årsak til å se denne forsinkelsen er at dette objektet er spesielt store i størrelsen på de tilhørende verdiene, eller antall verdier. Først bør du vurdere om programmet kan endres til å redusere mengden data som er lagret i objektet, eller antall verdier. Hvis dette er en stor gruppe eller distribusjonsliste, kan du vurdere å øke funksjonsnivået til Windows Server 2003 eller senere, siden dette gjør at replikering skal arbeide mer effektivt. Du bør vurdere om serverplattformen gir god nok ytelse når det gjelder minne og ytelse. Til slutt vil vurdere å justere Active Directory Domain Services-databasen ved å flytte databasen og logger til separate diskpartisjoner. Hvis du vil endre advarselsgrensen for, inkluderes registernøkkelen nedenfor. Verdien 0 deaktiverer sjekken. Flere Data Advarselsgrense (sek): XX Grense-registernøkkelen: System\CurrentControlSet\Services\NTDS\Parameters\Replicator maksimal Vent til oppdateringen objekt (sek)
  Katalogtjenester	KCC	1308	Knowledge konsekvens Checker (KCC) har oppdaget at påfølgende forsøk på å replikere med følgende katalogtjenesten konsekvent mislyktes. Forsøk: 2 Katalogtjenesten: CN = NTDS-innstillinger, CN =DC001, CN =servere, CN =site1, CN =områder, CN =Configuration, DC =Contoso, DC =com Tidsperiode (minutter): XXXXXXX Connection-objektet for denne katalogtjenesten vil bli ignorert, og en ny midlertidig tilkobling vil bli opprettet for å sikre at replikering fortsetter. Når replikering med denne katalogtjenesten gjenopptas, midlertidig tilkobling vil bli fjernet. Flere Data Feilverdi: 14 ikke er nok minne til å fullføre denne operasjonen.

  
  Obs! Problemet oppstår ikke hvis installere fra Media (IFM) forfremmelse domenekontrollere er i bruk. IFM kampanjen har imidlertid å være kilde fra den samme versjonen av operativsystemet.

• Følgende hendelse logges i hendelsesloggen under eller kort tid etter dcpromo er fullført:

  Hendelseslogg	Hendelseskilden	ID	Beskrivelse
  Katalogtjenester	Replikering	2094	Ytelsesadvarsel: replikeringen ble forsinket ved bruk av endringer i følgende objektet. Hvis denne meldingen vises ofte, angir det at replikeringen skjer for sakte, og at serveren kan ha problemer med å holde tritt med endringene. Objektet DN: CN =klientnavnet, OU =OU, DC =Contoso, DC =com GUID -GUID-objektet: Partisjon DN: DC =Contoso, DC =com Server: _msdcs DNS-post for replikasjonspartner Brukt tid (sek): XX Brukerhandling En vanlig årsak til å se denne forsinkelsen er at dette objektet er spesielt store i størrelsen på de tilhørende verdiene, eller antall verdier. Først bør du vurdere om programmet kan endres til å redusere mengden data som er lagret i objektet, eller antall verdier. Hvis dette er en stor gruppe eller distribusjonsliste, kan du vurdere å øke funksjonsnivået til Windows Server 2003 eller senere, siden dette gjør at replikering skal arbeide mer effektivt. Du bør vurdere om serverplattformen gir god nok ytelse når det gjelder minne og ytelse. Til slutt vil vurdere å justere Active Directory Domain Services-databasen ved å flytte databasen og logger til separate diskpartisjoner. Hvis du vil endre advarselsgrensen for, inkluderes registernøkkelen nedenfor. Verdien 0 deaktiverer sjekken. Flere Data Advarselsgrense (sek): XX Grense-registernøkkelen: System\CurrentControlSet\Services\NTDS\Parameters\Replicator maksimal Vent til oppdateringen objekt (sek)
  Katalogtjenester	KCC	1308	Knowledge konsekvens Checker (KCC) har oppdaget at påfølgende forsøk på å replikere med følgende katalogtjenesten konsekvent mislyktes. Forsøk: 2 Katalogtjenesten: CN = NTDS-innstillinger, CN =DC001, CN =servere, CN =site1, CN =områder, CN =Configuration, DC =Contoso, DC =com Tidsperiode (minutter): XXXXXXX Connection-objektet for denne katalogtjenesten vil bli ignorert, og en ny midlertidig tilkobling vil bli opprettet for å sikre at replikering fortsetter. Når replikering med denne katalogtjenesten gjenopptas, midlertidig tilkobling vil bli fjernet. Flere Data Feilverdi: 14 ikke er nok minne til å fullføre denne operasjonen.

  
  Obs! Problemet oppstår ikke hvis installere fra Media (IFM) forfremmelse domenekontrollere er i bruk. IFM kampanjen har imidlertid å være kilde fra den samme versjonen av operativsystemet.

• Feilkode 14 oversetter til: ERROR_OUTOFMEMORY - er ikke nok minne til å fullføre denne operasjonen. Følgende hendelse logges i hendelsesloggen under eller kort tid etter dcpromo er fullført:

  Hendelseslogg	Hendelseskilden	ID	Beskrivelse
  Katalogtjenester	Replikering	2094	Ytelsesadvarsel: replikeringen ble forsinket ved bruk av endringer i følgende objektet. Hvis denne meldingen vises ofte, angir det at replikeringen skjer for sakte, og at serveren kan ha problemer med å holde tritt med endringene. Objektet DN: CN =klientnavnet, OU =OU, DC =Contoso, DC =com GUID -GUID-objektet: Partisjon DN: DC =Contoso, DC =com Server: _msdcs DNS-post for replikasjonspartner Brukt tid (sek): XX Brukerhandling En vanlig årsak til å se denne forsinkelsen er at dette objektet er spesielt store i størrelsen på de tilhørende verdiene, eller antall verdier. Først bør du vurdere om programmet kan endres til å redusere mengden data som er lagret i objektet, eller antall verdier. Hvis dette er en stor gruppe eller distribusjonsliste, kan du vurdere å øke funksjonsnivået til Windows Server 2003 eller senere, siden dette gjør at replikering skal arbeide mer effektivt. Du bør vurdere om serverplattformen gir god nok ytelse når det gjelder minne og ytelse. Til slutt vil vurdere å justere Active Directory Domain Services-databasen ved å flytte databasen og logger til separate diskpartisjoner. Hvis du vil endre advarselsgrensen for, inkluderes registernøkkelen nedenfor. Verdien 0 deaktiverer sjekken. Flere Data Advarselsgrense (sek): XX Grense-registernøkkelen: System\CurrentControlSet\Services\NTDS\Parameters\Replicator maksimal Vent til oppdateringen objekt (sek)
  Katalogtjenester	KCC	1308	Knowledge konsekvens Checker (KCC) har oppdaget at påfølgende forsøk på å replikere med følgende katalogtjenesten konsekvent mislyktes. Forsøk: 2 Katalogtjenesten: CN = NTDS-innstillinger, CN =DC001, CN =servere, CN =site1, CN =områder, CN =Configuration, DC =Contoso, DC =com Tidsperiode (minutter): XXXXXXX Connection-objektet for denne katalogtjenesten vil bli ignorert, og en ny midlertidig tilkobling vil bli opprettet for å sikre at replikering fortsetter. Når replikering med denne katalogtjenesten gjenopptas, midlertidig tilkobling vil bli fjernet. Flere Data Feilverdi: 14 ikke er nok minne til å fullføre denne operasjonen.

  
  Obs! Problemet oppstår ikke hvis installere fra Media (IFM) forfremmelse domenekontrollere er i bruk. IFM kampanjen har imidlertid å være kilde fra den samme versjonen av operativsystemet.

• Security descriptor (SD)-overføring
  
  Et problem med minnelekkasje kan oppstå når en sikkerhetsendring på et beholderobjekt (domenerot eller organisasjonsenheten (OU)) hentes på mange underordnede objekter eller underordnede organisasjonsenheter via SD-overføring. Overføringen kan ta lang tid, avhengig av størrelsen på tilgangskontrolloppføringen (ACE) som skal endres og antall objekter (for eksempel 500 000). I løpet av denne tiden kan LSASS-prosessen eller prosessen for DsaMain kontinuerlig tildele tildelte byte.

• Tidkrevende spørringer
  
  Uventet kan høy virtuelt minneforbruk under tidkrevende spørringer for Lightweight Directory Access Protocol (LDAP) på Windows Server 2012 R2 eller Windows 8.1-baserte LDAP-servere føre til nedetid for minne. Tidkrevende spørringer forbruke minne ved å få en heap for sikkerhetsbeskrivelsen for hvert objekt som er i berøring.

I slike tilfeller, når de tildelte bytene antallet byte som er tilgjengelig, systemet blir ubrukelig og kan selv krasj.

Løsning

Bruk hurtigreparasjonen som nevnes i delen nedenfor hvis du vil løse dette problemet.

Hvis du vil bruke denne hurtigreparasjonen i konteksten av Domain Controller kampanjer (DCPROMO), gjør du følgende:

1. Installere Active Directory Domain Services- eller AD LDS-rollen.

2. Installer denne oppdateringen eller nyere Windows Server 2012 R2-oppdateringer og sikkerhetsoppdateringer som inneholder den samme binære Ntdsai.dll som de er kumulativ.

3. Utnevne datamaskinen til en status for domenekontrolleren.

Viktig Hvis du installerer en språkpakke etter at du har installert denne hurtigreparasjonen, må du installere denne hurtigreparasjonen på nytt. Vi anbefaler derfor at du installerer alle språk pakker før du installerer denne hurtigreparasjonen. Hvis du vil ha mer informasjon, se Legge til språkpakker i Windows.

Status

Microsoft har bekreftet at dette er et problem i Microsoft-produktene som er oppført i delen "Gjelder for".

Hvis du vil ha mer informasjon

Hvis du aktiverer NTDS\Diagnostics "9 intern behandling" nivå 2, som nevnt i Microsoft Knowledge Base-artikkel 314980, kan du se følgende ActiveDirectory_DomainService hendelser. Disse hendelsene viser den langvarige SD overføring av aktiviteten.

Hendelsen 1257 - som angir begynnelsen på SD-overføring
Intern hendelse: security descriptor overføring oppgaven behandler en hendelse for overføring fra følgende beholderen.
Beholder: OU = OU, DC = Contoso, DC = com

Hendelsen 2007 – som viser fremdriften for SD-overføring, logges hvert 5.
Intern hendelse: aktiviteten security descriptor overføring har nådd følgende beholderen og fortsetter med overføringen.
Beholder: OU = OU, DC = Contoso, DC = com
Antall objekter behandlet hittil: XXXXXX

Hendelsen 1258 - som angir slutten på SD-overføring etter noen timer
Intern hendelse: security descriptor overføring aktiviteten har fullført behandling av en hendelse for overføring fra følgende beholderen.
Beholder: OU = OU, DC = Contoso, DC = com
Antall objekter som er behandlet: ZZZZZZ

Det samme problemet kan oppstå fordi SD-overføringen utføres lokalt etter Active Directory-replikering til eventuelle andre Windows Server 2012 R2-basert domenekontroller eller LDS forekomster i domenet.

Vil du ikke se minnelekkasje i Active Directory Collector angi rapporten fordi den viser bare brukt byte. Du kan imidlertid bruke den opprettet ytelse skjerm BLG filkontroll teller objekt: prosess, forekomst: Lsass, teller: Private byte og objekt: minne, teller: utført byte.

For lengre observasjon av lekkasje utviklingen, kan du bruke en "graf med ytelse skjerm egenskaper, diagramelementer, for eksempel" hver 60. Varighet: 15 000 sekunder (> 4 timer).

Økende fordelingen kan også bli observert i Oppgavebehandling, i kategorien ytelse, element minne, innført. Dette vises under innført/tilgjengelig gigabyte (GB).

Indikatorer til feilen er som følger:

Repadmin /showrepl returnerer:

Katalogtjenesten logger feilhendelse 1699:

Hurtigmeny for programmet:

Referanser

Lær mer om terminologien som Microsoft bruker til å beskrive oppdateringer av programvare.

Filinformasjon

Den engelskspråklige (USA) versjonen av denne programvareoppdateringen installerer filer med attributtene som er oppført i tabellene nedenfor. Datoene og klokkeslettene for disse filene er oppført i Coordinated Universal Time (UTC). Vær oppmerksom på at datoene og klokkeslettene for disse filene på den lokale datamaskinen, vises i lokal tid og med din gjeldende tidsforskjell for sommertid. Datoene og klokkeslettene kan også endres når du utfører bestemte operasjoner på filene.