Inleiding
Active Directory Domain Services (AD DS) wijst unieke beveiligings-id's (Sid's) toe aan gebruikers, computers, groepen en vertrouwensrelaties die in Active Directory worden gemaakt. Sid's bestaan uit een domein prefix dat is gekoppeld aan een monotonically, waardoor de RID (Relative Identifier) wordt opgegroeid. Elk Active Directory-domein wordt toegewezen aan een globale RID-groep die bestaat uit 1.000.000.000-Rid's. Als u wilt dat elke Active Directory-domeincontroller nieuwe beveiligingsprincipal maakt, worden voor elke domeincontroller de functies Current en standby voor de RID-master toegewezen. Wanneer de hoofdgroep van RID voor het domein en lokale groepen op afzonderlijke domeincontrollers in een domein zijn uitgeput, kunnen extra gebruikers, computers en groepen niet langer in het domein worden gemaakt. U kunt dit probleem omzeilen door objecten en toepassingen te maken en te migreren naar een nieuw domein. In dit artikel wordt beschreven welke voorwaarden een logica fout kan resulteren in te veel RID-groeps aanvragen. Hiermee wordt de algehele RID-groep uitgeput.
Symptomen
In bepaalde zeldzame omstandigheden kan Active Directory-domeincontrollers onverwacht een grote hoeveelheid RID-bronnen gebruiken. Dit gedrag ontstrekt de globale RID-groep. Als dit probleem zich voordoet, kunt u een of meer van de volgende problemen ondervinden:
-
Rid's in de globale RID-groep wordt continu over tijd verbruikt.
-
Het aantal Rid's dat wordt gebruikt in de algemene RID-groep, is groter dan verwacht, waarbij wordt gekeken naar het aantal beveiligings-principals dat is gemaakt tijdens de levensduur van het domein.
-
Met de test DCDIAG-RID-Manager wordt aangegeven dat een zoekopdracht naar het kenmerk RidSetReferences mislukt. Bovendien wordt het volgende foutbericht weergegeven:
Begin test: RidManager Waarschuwing: ontbrekend kenmerk rIdSetReferences ontbrekende van CN =name, OU = Domain controllers, DC =name, DC =name, DC =name, DC =name Kon geen verwijzing naar de RID-set vinden: mislukt met 8481: De zoekopdracht kon geen kenmerken ophalen uit de database. ......................... naam is niet getest RidManager
Met de hotfix in KB 2618669 kunt u dit gedrag op Windows Server 2008 R2-domeincontrollers detecteren en voorkomen.
Dit gedrag maakt deel uit van de RTM-releases van
-
Versies van besturingssystemen uitgebracht na Windows Server 2019
-
Windows Server 2019
-
Windows Server 2016
-
Windows Server 2012 R2
-
Windows Server 2012
Oorzaak
In bepaalde zeldzame omstandigheden kan een domeincontroller elke 30 seconden terugkerende aanvragen indienen voor Rid's binnen de wereldwijde RID-groep. Als herhaaldelijke aanvragen voor de updates van de RID-groep gedurende een significante periode worden toegestaan, ondervindt de globale RID-groep mogelijk te veel RID-verbruik. In extreme gevallen is de globale RID-groep mogelijk geheel uitgeput.
Oplossing
U wordt aangeraden de volgende acties uit te voeren om te veel RID-verbruik in de algemene RID-groep te voorkomen:
-
Installeer de meest recente maand update die is uitgebracht na (september 2016, KB3185278) op alle bestaande Windows Server 2008 R2-domeincontrollers.
-
Integreer de update op de installatiemedia voor Windows Server 2008 R2. Op deze manier kunt u ervoor zorgen dat toekomstige domeincontrollers deze update ook kunnen voeren.
-
Implementeer de Active Directory-functie voor nieuwere OS-versies die deze functionaliteit in de RTM-versie bevatten.
Informatie over de hotfix
Er is een ondersteunde hotfix beschikbaar bij Microsoft. Deze hotfix is echter bedoeld om alleen het probleem op te lossen dat wordt beschreven in dit artikel. Pas deze hotfix alleen toe op systemen die het probleem voordoen dat in dit artikel wordt beschreven. Deze hotfix kan extra testen ontvangen. Als dit probleem zich niet sterk voordoet, raden we u aan te wachten op de volgende software-update die deze hotfix bevat. Als de hotfix beschikbaar is om te worden gedownload, is er een sectie ' hotfix Download Available ' bovenaan dit Knowledge Base-artikel. Neem contact op met de klanten service en ondersteuning van Microsoft om de hotfix te verkrijgen als deze sectie niet wordt weergegeven. Opmerking Als er andere problemen zijn of als er een probleem is vereist, moet u mogelijk een afzonderlijke serviceaanvraag aanmaken. De gebruikelijke ondersteuningskosten zijn van toepassing op extra ondersteuningsvragen en problemen die niet in aanmerking komen voor deze specifieke hotfix. Ga naar de volgende Microsoft-website voor een volledige lijst van Microsoft Customer service en telefoonnummers voor ondersteuning of voor het maken van een afzonderlijke service aanvraag:
http://support.microsoft.com/contactus/?ws=support Opmerking Het formulier ' hotfix downloaden beschikbaar ' toont de talen waarvoor de hotfix beschikbaar is. Als u uw taal niet ziet, komt dit doordat een hotfix niet beschikbaar is voor de desbetreffende taal.
Status
Microsoft heeft bevestigd dat dit probleem zich kan voordoen in de Microsoft-producten die worden vermeld in de sectie Van toepassing op.
Meer informatie
Klik voor meer informatie over de terminologie van software-updates op het volgende artikelnummer om het artikel in de Microsoft Knowledge Base weer te geven:
824684 Beschrijving van de standaardterminologie die wordt gebruikt voor het beschrijven van Microsoft-software-updates
