Geheugenlek in het LSASS-proces op domeincontrollers met Windows Server 2012 R2 en AD LDS-server

Symptomen

Een nieuwe arena heap geheugentoewijzing werd geïntroduceerd in de versie van Windows Server 2012 R2 van Directory Services. Dit veroorzaakt een geheugenlek in Lsass.exe (domeincontroller) en DsaMain.exe van Lightweight directoryservice (LDS) proces dat al het beschikbare geheugen op de domeincontroller Windows Server 2012 R2 of LDS server in beslag.

Oorzaak

Dit probleem treedt op in de volgende situaties:

• Promotie van domeincontroller of Stel LDS-replica in de configuratie toe te voegen
  
  Na het toevoegen van een replica in de configuratie van een promotie van domeincontroller of het toevoegen van een LDS-exemplaar op Windows Server 2012 R2 of Windows 8.1, heeft de replicatie-engine voor het repliceren van elk object in de naamgevingscontexten die nodig zijn voor het nieuwe exemplaar. Tijdens de taak veroorzaken Local Security Authority Server Service (LSASS) proces of DsaMain.exe een ernstig lek als virtuele toegewezen bytes het werkelijke verbruik zeer laag is toegewezen. Bovendien ziet maakt u het volgende foutbericht weergegeven:

  
  Datum /tijd[INFO] gegevens repliceren DC = Contoso,DC = com: ontvangen XXXXXX van objecten voor ongeveer XXXXXX en XXXXXX uit ongeveer XXXXXX DN-naam (DN) waarden...
  
  Datum tijd [waarschuwing] niet-kritieke replicatie geretourneerd 14
  

  
  Foutcode 14 wordt omgezet in: ERROR_OUTOFMEMORY - onvoldoende opslagruimte beschikbaar om deze bewerking te voltooien is.
  
  De volgende gebeurtenis wordt geregistreerd in het gebeurtenislogboek tijdens of kort na dcpromo is voltooid:

  Gebeurtenislogboek	Bron van gebeurtenis	ID	Beschrijving
  Directoryservices	Replicatie	2094	Prestatiewaarschuwing: replicatie is vertraagd tijdens het toepassen van wijzigingen op het volgende object. Als dit bericht vaak voorkomt, betekent dit dat de replicatie langzaam plaatsvindt en dat de server mogelijk moeite houden met wijzigingen. Object-DN: CN =clientnaam, de organisatie-eenheidOU, DC =Contoso, DC =com = Object-GUID: GUID DN-naam van partitie: DC =Contoso, DC =com Server: _msdcs DNS-record van de replicatiepartner Verstreken tijd (seconden): XX Actie van de gebruiker Een veelvoorkomende reden voor deze vertraging te zien is dat dit object vooral groot in de grootte van de waarden, of het aantal waarden is. Eerst moet u nagaan of de toepassing kan worden gewijzigd om de hoeveelheid gegevens die zijn opgeslagen op het object of het aantal waarden. Als dit een distributielijst of een grote groep, kunt u overwegen verhogen van het forest-functionaliteitsniveau op Windows Server 2003 of hoger, omdat Hiermee schakelt u replicatie om efficiënter te werken. U moet bepalen of het server-platform voldoende prestaties in termen van geheugen als processortijd biedt. U kunt ten slotte kunt u eventueel afstemmen van de Active Directory Domain Services-database door te verplaatsen van de database en de logboeken te scheiden van de partities op de schijf. Als u wijzigen de waarschuwingslimiet overschrijdt wilt, wordt de registersleutel vindt u hieronder. De waarde nul, wordt het selectievakje uitgeschakeld. Aanvullende gegevens Waarschuwingslimiet (sec.): XX Limiet-registersleutel: System\CurrentControlSet\Services\NTDS\Parameters\Replicator maximale wachten update object (sec.)
  Directoryservices	KCC	1308	Knowledge Consistency Checker (KCC) heeft vastgesteld dat er voortdurend opeenvolgende pogingen om te repliceren met de volgende Active Directory is mislukt. Pogingen: 2 Active Directory: CN NTDS Settings, CN =DC001, CN =Servers, CN = =site1, CN =Sites, CN =Configuration, DC =Contoso, DC =com Tijdsduur (in minuten): XXXXXXX Het Connection-object voor deze adreslijstservice worden genegeerd en een nieuwe tijdelijke verbinding worden vastgesteld om ervoor te zorgen dat replicatie wordt voortgezet. Nadat de replicatie met deze directoryservice wordt hervat, wordt de verbinding tijdelijk verwijderd. Aanvullende gegevens Waarde: 14 niet voldoende opslagruimte beschikbaar is voor deze bewerking niet voltooien.

  
  Opmerking Het probleem niet optreden als installeren vanaf medium (IFM) promotie voor domeincontrollers wordt gebruikt. IFM-promotie heeft echter zijn die afkomstig zijn van dezelfde versie van het besturingssysteem.

• De volgende gebeurtenis wordt geregistreerd in het gebeurtenislogboek tijdens of kort na dcpromo is voltooid:

  Gebeurtenislogboek	Bron van gebeurtenis	ID	Beschrijving
  Directoryservices	Replicatie	2094	Prestatiewaarschuwing: replicatie is vertraagd tijdens het toepassen van wijzigingen op het volgende object. Als dit bericht vaak voorkomt, betekent dit dat de replicatie langzaam plaatsvindt en dat de server mogelijk moeite houden met wijzigingen. Object-DN: CN =clientnaam, de organisatie-eenheidOU, DC =Contoso, DC =com = Object-GUID: GUID DN-naam van partitie: DC =Contoso, DC =com Server: _msdcs DNS-record van de replicatiepartner Verstreken tijd (seconden): XX Actie van de gebruiker Een veelvoorkomende reden voor deze vertraging te zien is dat dit object vooral groot in de grootte van de waarden, of het aantal waarden is. Eerst moet u nagaan of de toepassing kan worden gewijzigd om de hoeveelheid gegevens die zijn opgeslagen op het object of het aantal waarden. Als dit een distributielijst of een grote groep, kunt u overwegen verhogen van het forest-functionaliteitsniveau op Windows Server 2003 of hoger, omdat Hiermee schakelt u replicatie om efficiënter te werken. U moet bepalen of het server-platform voldoende prestaties in termen van geheugen als processortijd biedt. U kunt ten slotte kunt u eventueel afstemmen van de Active Directory Domain Services-database door te verplaatsen van de database en de logboeken te scheiden van de partities op de schijf. Als u wijzigen de waarschuwingslimiet overschrijdt wilt, wordt de registersleutel vindt u hieronder. De waarde nul, wordt het selectievakje uitgeschakeld. Aanvullende gegevens Waarschuwingslimiet (sec.): XX Limiet-registersleutel: System\CurrentControlSet\Services\NTDS\Parameters\Replicator maximale wachten update object (sec.)
  Directoryservices	KCC	1308	Knowledge Consistency Checker (KCC) heeft vastgesteld dat er voortdurend opeenvolgende pogingen om te repliceren met de volgende Active Directory is mislukt. Pogingen: 2 Active Directory: CN NTDS Settings, CN =DC001, CN =Servers, CN = =site1, CN =Sites, CN =Configuration, DC =Contoso, DC =com Tijdsduur (in minuten): XXXXXXX Het Connection-object voor deze adreslijstservice worden genegeerd en een nieuwe tijdelijke verbinding worden vastgesteld om ervoor te zorgen dat replicatie wordt voortgezet. Nadat de replicatie met deze directoryservice wordt hervat, wordt de verbinding tijdelijk verwijderd. Aanvullende gegevens Waarde: 14 niet voldoende opslagruimte beschikbaar is voor deze bewerking niet voltooien.

  
  Opmerking Het probleem niet optreden als installeren vanaf medium (IFM) promotie voor domeincontrollers wordt gebruikt. IFM-promotie heeft echter zijn die afkomstig zijn van dezelfde versie van het besturingssysteem.

• Foutcode 14 wordt omgezet in: ERROR_OUTOFMEMORY - onvoldoende opslagruimte beschikbaar om deze bewerking te voltooien is. De volgende gebeurtenis wordt geregistreerd in het gebeurtenislogboek tijdens of kort na dcpromo is voltooid:

  Gebeurtenislogboek	Bron van gebeurtenis	ID	Beschrijving
  Directoryservices	Replicatie	2094	Prestatiewaarschuwing: replicatie is vertraagd tijdens het toepassen van wijzigingen op het volgende object. Als dit bericht vaak voorkomt, betekent dit dat de replicatie langzaam plaatsvindt en dat de server mogelijk moeite houden met wijzigingen. Object-DN: CN =clientnaam, de organisatie-eenheidOU, DC =Contoso, DC =com = Object-GUID: GUID DN-naam van partitie: DC =Contoso, DC =com Server: _msdcs DNS-record van de replicatiepartner Verstreken tijd (seconden): XX Actie van de gebruiker Een veelvoorkomende reden voor deze vertraging te zien is dat dit object vooral groot in de grootte van de waarden, of het aantal waarden is. Eerst moet u nagaan of de toepassing kan worden gewijzigd om de hoeveelheid gegevens die zijn opgeslagen op het object of het aantal waarden. Als dit een distributielijst of een grote groep, kunt u overwegen verhogen van het forest-functionaliteitsniveau op Windows Server 2003 of hoger, omdat Hiermee schakelt u replicatie om efficiënter te werken. U moet bepalen of het server-platform voldoende prestaties in termen van geheugen als processortijd biedt. U kunt ten slotte kunt u eventueel afstemmen van de Active Directory Domain Services-database door te verplaatsen van de database en de logboeken te scheiden van de partities op de schijf. Als u wijzigen de waarschuwingslimiet overschrijdt wilt, wordt de registersleutel vindt u hieronder. De waarde nul, wordt het selectievakje uitgeschakeld. Aanvullende gegevens Waarschuwingslimiet (sec.): XX Limiet-registersleutel: System\CurrentControlSet\Services\NTDS\Parameters\Replicator maximale wachten update object (sec.)
  Directoryservices	KCC	1308	Knowledge Consistency Checker (KCC) heeft vastgesteld dat er voortdurend opeenvolgende pogingen om te repliceren met de volgende Active Directory is mislukt. Pogingen: 2 Active Directory: CN NTDS Settings, CN =DC001, CN =Servers, CN = =site1, CN =Sites, CN =Configuration, DC =Contoso, DC =com Tijdsduur (in minuten): XXXXXXX Het Connection-object voor deze adreslijstservice worden genegeerd en een nieuwe tijdelijke verbinding worden vastgesteld om ervoor te zorgen dat replicatie wordt voortgezet. Nadat de replicatie met deze directoryservice wordt hervat, wordt de verbinding tijdelijk verwijderd. Aanvullende gegevens Waarde: 14 niet voldoende opslagruimte beschikbaar is voor deze bewerking niet voltooien.

  
  Opmerking Het probleem niet optreden als installeren vanaf medium (IFM) promotie voor domeincontrollers wordt gebruikt. IFM-promotie heeft echter zijn die afkomstig zijn van dezelfde versie van het besturingssysteem.

• Het doorgeven van de security descriptor (SD)
  
  Een probleem met weglekkend geheugen kan optreden wanneer een wijziging in de beveiliging op een container-object (toegangspunt van het domein of organisatie-eenheid (OU)) is op een groot aantal onderliggende objecten overgenomen of onderliggende organisatie-eenheden via SD doorgeven. Afhankelijk van de grootte van de toegangsbeheervermelding (ACE) te wijzigen en het aantal objecten (bijvoorbeeld 500.000), kan de voortplanting lang duren. Gedurende deze periode kan het LSASS-proces of DsaMain proces voortdurend wijzen toegewezen bytes.

• Langdurige query 's
  
  Onverwacht hoge virtueel geheugenverbruik tijdens langdurige Lightweight Directory Access Protocol (LDAP)-query's op servers met Windows Server 2012 R2 of Windows 8.1 gebaseerde LDAP kan leiden tot storingen geheugen. De langdurige query's verbruiken geheugen door het verkrijgen van een opslagruimte voor de security descriptor van elk object dat is geraakt.

In deze gevallen als toegewezen bytes het aantal bytes dat beschikbaar is, bereikt het systeem onbruikbaar en kan zelfs vastlopen.

Oplossing

U kunt dit probleem oplossen door de hotfix toepassen die wordt beschreven in de volgende sectie.

Voor het gebruik van de hotfix in het kader van de domein Controller promoties (DCPROMO) als volgt te werk:

1. Installeer de rol AD DS of AD LDS.

2. Installeer deze update of nieuwere Windows Server 2012 R2 updates en beveiligingsupdates die de dezelfde binaire Ntdsai.dll bevatten, zoals ze cumulatief van opzet zijn.

3. De computer promoveren tot domeincontroller status.

Belangrijk Als u een taalpakket installeert nadat u deze hotfix hebt geïnstalleerd, moet u deze hotfix opnieuw te installeren. Daarom wordt aangeraden dat u de taal installeren packs die u nodig voordat u hebt deze hotfix hebt geïnstalleerd. Zie voor meer informatie Taalpakketten toevoegen aan Windows.

Status

Microsoft heeft bevestigd dat dit probleem kan optreden in de Microsoft-producten die worden vermeld in de sectie 'Van toepassing op'.

Meer informatie

Als u NTDS\Diagnostics "9 interne verwerking" niveau 2 in de Microsoft Knowledge Base-artikel 314980genoemde inschakelt, ziet u de volgende gebeurtenissen voor ActiveDirectory_DomainService. Deze gebeurtenissen geven het langdurige SD-descriptoren.

Gebeurtenis 1257 - geeft het begin van de doorgifte van SD
Interne gebeurtenis: de security descriptor descriptoren een doorgiftegebeurtenis vanaf de volgende container wordt verwerkt.
Container: OU = organisatie-eenheid, DC = Contoso, DC = com

Gebeurtenis 2007 - de voortgang van de doorgifte van SD, elke 5 minuten vastgelegd die aangeeft
Interne gebeurtenis: de security descriptor descriptoren heeft de volgende container bereikt en gaat door met het doorgeven.
Container: OU = organisatie-eenheid, DC = Contoso, DC = com
Aantal objecten verwerkt tot nu toe: XXXXXX

Gebeurtenis 1258 - wat het einde van de doorgifte van SD na enkele uren
Interne gebeurtenis: de security descriptor descriptoren een doorgiftegebeurtenis vanaf de volgende container heeft verwerkt.
Container: OU = organisatie-eenheid, DC = Contoso, DC = com
Aantal objecten verwerkt: ZZZZZZ

Hetzelfde probleem kan zich voordoen omdat de doorgifte van SD lokaal wordt uitgevoerd na de Active Directory-replicatie naar een andere Windows Server 2012 R2-domeincontroller of LDS-exemplaren in het domein.

Het geheugenlek in de actieve Directory inzamelaar stelt rapport omdat wordt alleen gebruikt bytes weergegeven niet. Echter, kunt u de gemaakte performance monitor data blogs bestandscontrole item-Object: proces exemplaar: Lsass, teller: Private Bytes en Object: geheugen, teller: toegewezen Bytes.

Voor meer waarnemingen van de ontwikkeling van een lek, kunt u "Grafiek met Performance Monitor eigenschappen van grafiekelementen, monster" elke 60 seconden. Duur: 15.000 seconden (> 4 uur).

De toenemende toewijzing kan ook worden waargenomen in Taakbeheer, het tabblad prestatieshet item geheugen, vastgelegd. Dit wordt weergegeven onder de toegewezen/beschikbare gigabytes (GB).

Indicatoren van de fout zijn als volgt:

repadmin/showrepl als resultaat:

Directory-Service registreert een foutgebeurtenis 1699:

Pop-up van toepassing:

Referenties

Meer informatie over de terminologie die door Microsoft wordt gebruikt om software-updates te beschrijven.

Informatie over bestanden

De Engelse (Verenigde Staten) versie van deze software-update installeert bestanden met de bestandskenmerken die in de volgende tabellen worden weergegeven. De datums en tijden voor deze bestanden worden weergegeven in Coordinated Universal Time (UTC). U moet zich ervan bewust zijn dat de datums en tijden voor deze bestanden op uw lokale computer worden weergegeven in uw lokale tijd en met uw huidige zomertijd. De datums en tijden kunnen ook wijzigen wanneer u bepaalde bewerkingen op de bestanden uitvoert.