Aktualizacja systemu Windows kontroler domeny Server 2012 R2 lub Windows Server 2012, kwiecień 2016

Problemy rozwiązane w tej aktualizacji

Wydanie 1 Szybsze wkładki do usługi Active Directory zmienić powiadomienie kolejki opóźnienia obsługi puli wątków asynchronicznego wątku kolejki (ATQ), kwerend LDAP i replikacji powiadomienie oparte.

Jeżeli ten warunek jest spełniony, kontroler domeny (DC) lokalnego uwierzytelniania zabezpieczeń podsystemu Service (LSASS) zużywa obciążenia Procesora lub użycie Procesora 100% w sytuacjach nadzwyczajnych. Następujące operacje są blokowane, gdy zmiany powiadomienia kolejek opracowanie na danym kontrolerze domeny:

• Replikacja usługi Active Directory wyzwalane przez zmiany powiadomienia jest opóźnione.

• Rejestracja wątków ATQ lub wyrejestrowania jest opóźniona.

• Zapisy do kontrolera domeny są zablokowane.

• Podczas wstawiania ciąg jest w toku, przetwarzanie kolejki powiadamiania jest zablokowany. Replikacja powiadomienie oparte jest zablokowany podczas tej operacji.

• Użycie Procesora przez proces LSASS działa zimno na kontrolerach domeny, ponieważ wszystkie wielu operacji są zablokowane i tylko wątek otrzymuje czas Procesora jako replikacji usługi Active Directory.

Ta aktualizacja zawiera górny limit na liczbę pozostałych elementów powiadomienia Zmień kontrolera domeny spowoduje dodanie do kolejki.  Po osiągnięciu tego progu, kontroler domeny będzie odpowiadać z "ERROR_DS_ADMIN_LIMIT_EXCEEDED".  Domyślnie próg wynosi 4096.  Aby zmodyfikować ten próg, w razie potrzeby mogą być dodawane następujący klucz rejestru:

HKEY_LOCAL_MACHINE\CCS\Services\NTDS\Parameters DWORD "Maksymalna równoczesnych LDAP powiadomienia"Maksymalna wartość dla powiadomienia o zmianie, która jest zbyt niska może spowodować błędy niepotrzebne, aby zmienić powiadomienie klientów. Dlatego ważne jest określenie "normalnego" zakresu tego licznika przed wprowadzeniem poprawek.  Ustanowienie Górny zakres kolejki powiadomień zmiany, należy rozważyć monitorowanie licznika rozmiar kolejki powiadomienia DS na wszystkich kontrolerach domeny w lesie, do określenia wartości szczytowe.

Należy wziąć pod uwagę bufor o co najmniej 25% na górze wartość szczytowa doświadczonych podczas monitorowania ten licznik, aby określić odpowiednią wartość maksymalna równoczesnych powiadomień LDAP.

Uwaga: Poprawkę dotyczącą tego problemu jest zawarte w aktualizacji zabezpieczeń 3160352.

Problem 2 Zmienia nazwę domeny komputerów członkowskich Microsoft SQL Server nie powiedzie się błąd "Usługa katalogowa jest zajęta".

Ten problem występuje, gdy są spełnione następujące warunki:

• Microsoft SQL Server jest zainstalowany na komputerze systemu Windows, który jest przyłączony do domeny usługi Active Directory.

• Główna nazwa usługi zarejestrowana przez Microsoft SQL Server lub Microsoft SQL Express zawiera znaki nienumeryczne po ":" ogranicznik w atrybut SPN konta komputera, która jest zmieniana.

• Komputera, na którym uruchomiono program Microsoft SQL Server jest zmieniana w Panelu sterowania.

• Kontroler domeny systemu Windows Server 2012 R2 usług operacji zmiany nazwy.

Podobnie dodanie nazwy komputera alternatywnych również kończy się niepowodzeniem. I polecenia NetDom add nazwa_komputera kończy się niepowodzeniem z następujących czynności na ekranie o błędzie:

Aby uzyskać więcej informacji o tym problemie zobacz Aktualizacja 3152220.


Issue 3

Próba logowania jednokrotnego na stronie internetowej jest liczone jako dwie próby logowania w usłudze Active Directory. W związku z tym licznik niepoprawne hasło zwiększa się przez dwa, a nie przez jednego.



Problem 4 Usługa LSASS naruszenie zasad dostępu występuje wraz z błąd "0xc0000005" na kierowane przez Azure Połącz AD tożsamości synchronizacji klienci z systemem "Pełnego importu" Windows Server 2012 R2 DCs.

Gdy użytkownik uruchamia "Pełnego importu" na Azure Połącz AD tożsamości klienta synchronizacji z kontrolera domeny z systemem Windows Server 2012 R2, występuje naruszenie zasad dostępu w procesie LSASS, a kontroler domeny jest uruchamiany z kodem błędu "0xc0000005". Ten problem występuje po wyłączeniu Active Directory Kosza.

Aby uzyskać więcej informacji o tym problemie zobacz Aktualizacja 3145339.



Wydanie 5

LSASS.exe ulega awarii na kontrolerze domeny błąd naruszenia zasad dostępu, gdy użytkownik uruchamia kwerendę cykliczną Lightweight Directory Access Protocol (LDAP) przeciwko grupę usługi Active Directory, który ma wiele grup zagnieżdżonych.  Przykład kwerendy, który może wywołać tego rodzaju awarii jest następująca:

ldifde -f t.txt -d "dc =contoso, dc = com" - r "(memberof:memberID: = cn =cn, cn =cn, dc =contoso, dc = com)"

Jak uzyskać tę aktualizację

Ważne Jeśli po zainstalowaniu tej aktualizacji zainstalowany zostanie pakiet językowy, należy ponownie zainstalować tę aktualizację. Dlatego przed zainstalowaniem tej aktualizacji zaleca się zainstalowanie potrzebnego pakietu językowego. Aby uzyskać więcej informacji zobacz Dodawanie pakietów językowych systemu Windows.

Szczegółowe informacje o aktualizacji

Stan

Firma Microsoft potwierdziła, że jest to problem występujący w produktach firmy Microsoft wymienionych w sekcji „Dotyczy”.

Powiązane artykuły

Zobacz więcej informacji na temat terminologii stosowanej przez firmę Microsoft do opisywania aktualizacji oprogramowania.

Informacje o pliku

Wersja angielskojęzyczna (Stany Zjednoczone) tej aktualizacji oprogramowania instaluje pliki, których atrybuty wymieniono w poniższych tabelach.

Uwaga Atrybuty plików systemu Windows Server 2012 zobacz 3160352 aktualizacji zabezpieczeń.