Update voor Windows Server 2012 R2- of Windows Server 2012-domeincontroller, April 2016

Problemen die in deze update worden opgelost

Probleem 1 Snellere voegt naar Active Directory wijzigen kennisgeving wachtrij vertragingen onderhoud threadgroep asynchrone Thread-wachtrij (ATQ), LDAP-query's en melding op basis van replicatie.

Als deze voorwaarde waar is, de domeincontroller (DC) Local Security Authority Subsystem Service (LSASS) verbruikt hoog CPU-gebruik of 100% CPU-gebruik in extreme gevallen. De volgende bewerkingen worden geblokkeerd als de wijziging melding wachtrijen op een bepaalde DC ontwikkelen:

• Active Directory-replicatie geactiveerd door het wijzigingsbericht wordt vertraagd.

• ATQ thread registratie of verwijdering is vertraagd.

• Schrijfbewerkingen naar de DC geblokkeerd.

• Wanneer de invoegpositie tekenreeks lopende is, wordt de verwerking van de wachtrij is ook geblokkeerd. Melding op basis van replicatie wordt tijdens deze bewerking geblokkeerd.

• CPU-gebruik voor het LSASS-proces uitgevoerd op DCs koud, zoals alle meerdere bewerkingen worden geblokkeerd en de enige thread CPU-tijd als Active Directory-replicatie wordt.

Deze update bevat een bovengrens voor het aantal items van bericht wijzigen dat een domeincontroller in de wachtrij.  Zodra deze drempel is bereikt, wordt de DC beantwoorden met 'ERROR_DS_ADMIN_LIMIT_EXCEEDED'.  De drempelwaarde is standaard 4096.  De volgende registersleutel kan worden toegevoegd aan deze drempel zo nodig te wijzigen:

HKEY_LOCAL_MACHINE\CCS\Services\NTDS\Parameters DWORD 'Maximale gelijktijdige LDAP-meldingen'Een maximale waarde voor meldingen te laag kan leiden tot onnodige storingen clients kennisgeving te wijzigen. Daarom is het belangrijk om te bepalen van het "normale" bereik van dit item voor de toepassing van de hotfix.  Om vast te stellen in het bovenste bereik van de wachtrij wijzigen, moet u rekening houden toezicht op de teller DS kennis wachtrijgrootte op alle domeincontrollers in het forest om piek waarden te bepalen.

Rekening houden met een buffer van ten minste 25% boven de piekwaarde ervaren bij het controleren van deze waarde om te bepalen van de juiste waarde van Maximum gelijktijdige LDAP-meldingen.

Opmerking De correctie voor dit probleem is opgenomen in beveiligingsupdate 3160352.

Probleem 2 De naam van een domein behoren Microsoft SQL Server-lidcomputers mislukt met foutcode 'Active Directory is bezig'.

Dit probleem treedt op wanneer de volgende voorwaarden voldaan wordt:

• Microsoft SQL Server is geïnstalleerd op een Windows-computer die lid is van een Active Directory-domein.

• De belangrijkste naam SPN (Service) die geregistreerd door Microsoft SQL Server of Microsoft SQL Express bevat niet-numerieke tekens na de ":" als scheidingsteken in het SPN-kenmerk van de computeraccount die naam wordt gewijzigd.

• De naam van de computer waarop Microsoft SQL Server wordt gewijzigd in het Configuratiescherm.

• Een domeincontroller voor Windows Server 2012 R2 services de naamswijziging.

Op dezelfde manier toevoegen de naam van een andere computer ook niet. En de opdracht NetDom add computernaam mislukt met de volgende een op het scherm fout:

Zie voor meer informatie over dit probleem 3152220 bijwerken.


Issue 3

Een enkele aanmeldingspoging op de website wordt geteld als twee aanmeldingspogingen in Active Directory. Daarom neemt aantal onjuist wachtwoord met twee in plaats van een.



Editie 4 LSASS-toegangsfout treedt op met "0xc0000005" fout op Windows Server 2012 R2 DCs doelwit van Azure AD verbinden identiteit sync clients met 'Volledige Import'.

Wanneer een gebruiker 'Volledige Import' op Azure AD verbinden identiteit sync client op basis van een DC op basis van Windows Server 2012 R2 wordt uitgevoerd, treedt een toegangsfout op in LSASS-proces en de domeincontroller opnieuw is opgestart met foutcode "0xc0000005". Dit probleem treedt op wanneer de Prullenbak van Active Directory is uitgeschakeld.

Zie voor meer informatie over dit probleem 3145339 bijwerken.



Probleem 5

Lsass.exe loopt vast op een domeincontroller met een toegangsfout wanneer een gebruiker een recursieve Lightweight Directory Access Protocol (LDAP)-query uitvoert op een Active Directory-groep met veel geneste groepen.  Een voorbeeld van een query die dit type crash kan worden geactiveerd, is als volgt:

ldifde -f t.txt -d "dc =contoso, dc = com" - r "(memberof:memberID: = cn =cn, cn =cn, dc =contoso, dc = com)"

Hoe krijg ik deze update

Belangrijk Als u een taalpakket installeert nadat u deze update installeert, moet u deze update opnieuw installeren. Daarom wordt aangeraden dat u de taalpakketten die u nodig hebt, installeert voordat u deze update installeert. Zie voor meer informatie Taalpakketten toevoegen aan Windows.

Gedetailleerde informatie over deze update

Status

Microsoft heeft bevestigd dat dit probleem kan optreden in de Microsoft-producten die worden vermeld in de sectie 'Van toepassing op'.

Referenties

Meer informatie over de terminologie die door Microsoft wordt gebruikt om software-updates te beschrijven.

Informatie over bestanden

De Engelse (Verenigde Staten) versie van deze software-update installeert bestanden met de bestandskenmerken die in de volgende tabellen worden weergegeven.

Opmerking Zie de 3160352 van de beveiligingsupdatevoor de bestandskenmerken van Windows Server 2012.