Przeciek pamięci w procesie LSASS na kontrolerach domeny z systemem Windows Server 2012 R2 i serwera usług LDS w usłudze AD

Objawy

Nową alokację pamięci sterty areny została wprowadzona w wersji systemu Windows Server 2012 R2 usług katalogowych. To powoduje przeciek pamięci w pliku Lsass.exe (rola kontrolera domeny) oraz DsaMain.exe proces Lightweight Directory Service (LDS), które mogą zużyć całą dostępną pamięć na kontrolerze domeny systemu Windows Server 2012 R2 lub serwera usług LDS w usłudze.

Przyczyna

Ten problem występuje w następujących sytuacjach:

• Proces promocji kontrolera domeny lub Dodawanie repliki usług LDS w usłudze konfiguracji zestaw
  
  Po dodaniu repliki do konfiguracji przez proces promocji kontrolera domeny lub Dodawanie wystąpienia usług LDS w systemie Windows Server 2012 R2 lub Windows 8.1, aparat replikacji ma zostać zreplikowane każdy obiekt w kontekstów nazewnictwa potrzebne na nowe wystąpienie. Podczas zadania procesu lokalnego uwierzytelniania zabezpieczeń serwera Service (LSASS) lub DsaMain.exe może spowodować poważny wyciek przy przydziela go zadeklarowane Bajty wirtualne, chociaż rzeczywisty zwyczaj jest bardzo niska. Ponadto plik DCpromo.log zawiera następujący komunikat o błędzie:

  
  Data iGodzina[INFO] replikowanie danych DC = Contoso,DC = com: odebrano XXXXXX spośród około XXXXXX obiektów i XXXXXX spośród około XXXXXX odróżnić wartości nazwę (DN)...
  
  Data godzina [ostrzeżenie] bez istotnej replikacji zwrócił 14
  

  
  Kod błędu 14 przekłada się na: ERROR_OUTOFMEMORY - w magazynie brak miejsca dla wykonania tej operacji.
  
  Następujące zdarzenie jest rejestrowane w dzienniku zdarzeń podczas lub krótko po dcpromo zakończy się:

  Dziennik zdarzeń	Źródło zdarzenia	IDENTYFIKATOR	Opis
  Usługi katalogowe	Replikacja	2094	Ostrzeżenie dotyczące wydajności: replikacji zostało opóźnione podczas stosowania zmian do następującego obiektu. Jeśli ten komunikat pojawia się często, oznacza to, że replikacja pojawia się powoli i że serwer może mieć trudności z śledzenie zmian. Nazwa Wyróżniająca obiektu: CN =Nazwa klienta, OU =jednostki Organizacyjnej, DC =Contoso, DC =com Identyfikator GUID obiektu: Identyfikator GUID Partycja DN: DC =Contoso, DC =com Rekord DNS _msdcs partnera replikacji serwera: Upłynęło czasu (w sekundach): XX Akcja użytkownika Częstą przyczyną przy przeglądaniu tego opóźnienia jest szczególnie duże, rozmiar jego wartości lub wartości tego obiektu. Należy najpierw rozważyć, czy aplikacja może zostać zmieniony aby zredukować ilość danych przechowywanych na obiekt lub liczbę wartości. Jeśli jest to duże grupy lub listy dystrybucyjnej, można rozważyć podnoszenie poziomu funkcjonalności lasu systemu Windows Server 2003 lub nowszego, ponieważ umożliwi to replikacja wydajniejszą pracę. Należy ocenić, czy platforma server zapewnia wydajność wystarczającą pod względem pamięci oraz moc obliczeniową. Wreszcie może warto rozważyć, strojenia bazy danych Usługi domenowe w usłudze Active Directory przez przeniesienie bazy danych i dzienników do osobnych partycji dysku. Jeśli chcesz zmienić limit ostrzegawczy, klucz rejestru znajduje się poniżej. Wartość zero wyłączy czeku. Dodatkowe dane Limit ostrzegawczy (w sekundach): XX Klucz rejestru limitu: System\CurrentControlSet\Services\NTDS\Parameters\Replicator maksymalnie oczekiwania dla aktualizacji obiektu (w sekundach)
  Usługi katalogowe	USŁUGA KCC	1308	System nazw domen (KCC, Knowledge Consistency Checker) wykrył, że kolejne próby replikacji przy użyciu następujących usługi katalogowej konsekwentnie nie powiodło się. Próby: 2 Usługi katalogowej: CN = NTDS Settings, CN =DC001, CN =Serwery, CN =site1, CN =Lokacje, CN =Configuration, DC =Contoso, DC =com Okres czasu (w minutach): XXXXXXX Obiekt połączenia dla tej usługi katalogowej zostanie zignorowany, a nowe tymczasowe połączenie zostanie ustanowiony, aby zapewnić, że replikacja jest kontynuowany. Po replikacji z tej usługi katalogowej wznawia, tymczasowe połączenie zostanie usunięty. Dodatkowe dane PIONOWO zwraca wartooć błędu #liczba!: 14 nie w magazynie brak miejsca dla wykonania tej operacji.

  
  Uwaga Problem nie występuje, jeśli instalacji z nośnika (IFM) promocji dla kontrolerów domeny jest używana. Jednakże podwyższenia poziomu IFM musi pochodzić z tej samej wersji systemu operacyjnego.

• Następujące zdarzenie jest rejestrowane w dzienniku zdarzeń podczas lub krótko po dcpromo zakończy się:

  Dziennik zdarzeń	Źródło zdarzenia	IDENTYFIKATOR	Opis
  Usługi katalogowe	Replikacja	2094	Ostrzeżenie dotyczące wydajności: replikacji zostało opóźnione podczas stosowania zmian do następującego obiektu. Jeśli ten komunikat pojawia się często, oznacza to, że replikacja pojawia się powoli i że serwer może mieć trudności z śledzenie zmian. Nazwa Wyróżniająca obiektu: CN =Nazwa klienta, OU =jednostki Organizacyjnej, DC =Contoso, DC =com Identyfikator GUID obiektu: Identyfikator GUID Partycja DN: DC =Contoso, DC =com Rekord DNS _msdcs partnera replikacji serwera: Upłynęło czasu (w sekundach): XX Akcja użytkownika Częstą przyczyną przy przeglądaniu tego opóźnienia jest szczególnie duże, rozmiar jego wartości lub wartości tego obiektu. Należy najpierw rozważyć, czy aplikacja może zostać zmieniony aby zredukować ilość danych przechowywanych na obiekt lub liczbę wartości. Jeśli jest to duże grupy lub listy dystrybucyjnej, można rozważyć podnoszenie poziomu funkcjonalności lasu systemu Windows Server 2003 lub nowszego, ponieważ umożliwi to replikacja wydajniejszą pracę. Należy ocenić, czy platforma server zapewnia wydajność wystarczającą pod względem pamięci oraz moc obliczeniową. Wreszcie może warto rozważyć, strojenia bazy danych Usługi domenowe w usłudze Active Directory przez przeniesienie bazy danych i dzienników do osobnych partycji dysku. Jeśli chcesz zmienić limit ostrzegawczy, klucz rejestru znajduje się poniżej. Wartość zero wyłączy czeku. Dodatkowe dane Limit ostrzegawczy (w sekundach): XX Klucz rejestru limitu: System\CurrentControlSet\Services\NTDS\Parameters\Replicator maksymalnie oczekiwania dla aktualizacji obiektu (w sekundach)
  Usługi katalogowe	USŁUGA KCC	1308	System nazw domen (KCC, Knowledge Consistency Checker) wykrył, że kolejne próby replikacji przy użyciu następujących usługi katalogowej konsekwentnie nie powiodło się. Próby: 2 Usługi katalogowej: CN = NTDS Settings, CN =DC001, CN =Serwery, CN =site1, CN =Lokacje, CN =Configuration, DC =Contoso, DC =com Okres czasu (w minutach): XXXXXXX Obiekt połączenia dla tej usługi katalogowej zostanie zignorowany, a nowe tymczasowe połączenie zostanie ustanowiony, aby zapewnić, że replikacja jest kontynuowany. Po replikacji z tej usługi katalogowej wznawia, tymczasowe połączenie zostanie usunięty. Dodatkowe dane PIONOWO zwraca wartooć błędu #liczba!: 14 nie w magazynie brak miejsca dla wykonania tej operacji.

  
  Uwaga Problem nie występuje, jeśli instalacji z nośnika (IFM) promocji dla kontrolerów domeny jest używana. Jednakże podwyższenia poziomu IFM musi pochodzić z tej samej wersji systemu operacyjnego.

• Kod błędu 14 przekłada się na: ERROR_OUTOFMEMORY - w magazynie brak miejsca dla wykonania tej operacji. Następujące zdarzenie jest rejestrowane w dzienniku zdarzeń podczas lub krótko po dcpromo zakończy się:

  Dziennik zdarzeń	Źródło zdarzenia	IDENTYFIKATOR	Opis
  Usługi katalogowe	Replikacja	2094	Ostrzeżenie dotyczące wydajności: replikacji zostało opóźnione podczas stosowania zmian do następującego obiektu. Jeśli ten komunikat pojawia się często, oznacza to, że replikacja pojawia się powoli i że serwer może mieć trudności z śledzenie zmian. Nazwa Wyróżniająca obiektu: CN =Nazwa klienta, OU =jednostki Organizacyjnej, DC =Contoso, DC =com Identyfikator GUID obiektu: Identyfikator GUID Partycja DN: DC =Contoso, DC =com Rekord DNS _msdcs partnera replikacji serwera: Upłynęło czasu (w sekundach): XX Akcja użytkownika Częstą przyczyną przy przeglądaniu tego opóźnienia jest szczególnie duże, rozmiar jego wartości lub wartości tego obiektu. Należy najpierw rozważyć, czy aplikacja może zostać zmieniony aby zredukować ilość danych przechowywanych na obiekt lub liczbę wartości. Jeśli jest to duże grupy lub listy dystrybucyjnej, można rozważyć podnoszenie poziomu funkcjonalności lasu systemu Windows Server 2003 lub nowszego, ponieważ umożliwi to replikacja wydajniejszą pracę. Należy ocenić, czy platforma server zapewnia wydajność wystarczającą pod względem pamięci oraz moc obliczeniową. Wreszcie może warto rozważyć, strojenia bazy danych Usługi domenowe w usłudze Active Directory przez przeniesienie bazy danych i dzienników do osobnych partycji dysku. Jeśli chcesz zmienić limit ostrzegawczy, klucz rejestru znajduje się poniżej. Wartość zero wyłączy czeku. Dodatkowe dane Limit ostrzegawczy (w sekundach): XX Klucz rejestru limitu: System\CurrentControlSet\Services\NTDS\Parameters\Replicator maksymalnie oczekiwania dla aktualizacji obiektu (w sekundach)
  Usługi katalogowe	USŁUGA KCC	1308	System nazw domen (KCC, Knowledge Consistency Checker) wykrył, że kolejne próby replikacji przy użyciu następujących usługi katalogowej konsekwentnie nie powiodło się. Próby: 2 Usługi katalogowej: CN = NTDS Settings, CN =DC001, CN =Serwery, CN =site1, CN =Lokacje, CN =Configuration, DC =Contoso, DC =com Okres czasu (w minutach): XXXXXXX Obiekt połączenia dla tej usługi katalogowej zostanie zignorowany, a nowe tymczasowe połączenie zostanie ustanowiony, aby zapewnić, że replikacja jest kontynuowany. Po replikacji z tej usługi katalogowej wznawia, tymczasowe połączenie zostanie usunięty. Dodatkowe dane PIONOWO zwraca wartooć błędu #liczba!: 14 nie w magazynie brak miejsca dla wykonania tej operacji.

  
  Uwaga Problem nie występuje, jeśli instalacji z nośnika (IFM) promocji dla kontrolerów domeny jest używana. Jednakże podwyższenia poziomu IFM musi pochodzić z tej samej wersji systemu operacyjnego.

• Zabezpieczenia propagacji deskryptora (SD)
  
  Problem z przeciekiem pamięci może wystąpić, gdy zmiana zabezpieczeń na obiekt kontenera (katalog główny domeny lub jednostki organizacyjnej (OU)) jest dziedziczona na wiele obiektów podrzędnych lub podrzędnych jednostek organizacyjnych choć SD propagacji. W zależności od wpisu kontroli dostępu (ACE), aby zmienić rozmiar i liczbę obiektów (na przykład 500,000) propagacji może trwać długo. W czasie tego procesu LSASS lub DsaMain proces może stale przydzielić Zadeklarowane bajty.

• Długotrwałych kwerend
  
  Nieoczekiwanie wysokie pamięci wirtualnej zużycia w trakcie długotrwałych kwerend Lightweight Directory Access Protocol (LDAP) na serwerach systemu Windows Server 2012 R2 lub systemem Windows 8.1 LDAP może spowodować awarii pamięci. Długotrwałe kwerendy zużywa pamięci poprzez uzyskanie sterty deskryptor zabezpieczeń każdego obiektu, który dotknął.

W takich sytuacjach kiedy Zadeklarowane bajty osiągnąć liczbę bajtów, które są dostępne, system staje się bezużyteczny i może nawet crash.

Rozwiązanie

Aby rozwiązać ten problem, należy zastosować poprawkę opisaną w sekcji poniżej.

Aby zastosować poprawkę w kontekście o promocjach Kontroler domeny (DCPROMO), wykonaj następujące kroki:

1. Instalowanie roli Usługi domenowe w usłudze Active Directory lub AD LDS.

2. Instalowanie tej aktualizacji lub nowsze aktualizacje systemu Windows Server 2012 R2 i aktualizacje zabezpieczeń, które zawiera Ntdsai.dll sam binarne, które zawsze są zbiorcze.

3. Podwyższyć poziom komputera do statusu kontrolera domeny.

Ważne Po zainstalowaniu tej poprawki należy zainstalować pakiet językowy, należy ponownie zainstalować tę poprawkę. Dlatego zaleca się zainstalowanie dowolnego języka pakiety, które potrzebne przed zainstalowanie tej poprawki. Aby uzyskać więcej informacji zobacz Dodawanie pakietów językowych systemu Windows.

Stan

Firma Microsoft potwierdziła, że jest to problem występujący w produktach firmy Microsoft wymienionych w sekcji „Dotyczy”.

Więcej informacji

Jeśli włączysz NTDS\Diagnostics "9 Internal Processing" poziomu 2, jak wspomniano w artykule bazy wiedzy Microsoft Knowledge Base 314980, mogą być widoczne następujące zdarzenia ActiveDirectory_DomainService. Wydarzenia te pokazują zadanie propagacji SD długim.

Zdarzenie 1257 - wskazujący na początek propagacji SD
Zdarzenie wewnętrzne: zadanie propagacji deskryptora zabezpieczeń przetwarza zdarzenie propagacji zaczynając od następujący kontener.
Kontener: OU = jednostki Organizacyjnej, DC = Contoso, DC = com

Zdarzenie 2007 - informujący o postępie propagacji SD, rejestrowane co 5 minut
Zdarzenie wewnętrzne: zadanie propagacji deskryptora zabezpieczeń osiągnęła następujący kontener i nadal będzie propagacji.
Kontener: OU = jednostki Organizacyjnej, DC = Contoso, DC = com
Liczba obiektów przetwarzane tak daleko: XXXXXX

Zdarzenie 1258 - wskazuje koniec rozmnażania SD po kilku godzinach
Zdarzenie wewnętrzne: zadanie propagacji deskryptora zabezpieczeń zostało zakończone przetwarzanie zdarzenia propagacji, zaczynając od następujący kontener.
Kontener: OU = jednostki Organizacyjnej, DC = Contoso, DC = com
Liczba przetworzonych obiektów: ZZZZZZ

Po replikacji usługi Active Directory do dowolnego innego kontrolera domeny z systemem Windows Server 2012 R2 lub wystąpienia usług LDS w domenie ten sam problem może wystąpić, ponieważ propagacja SD jest wykonywane lokalnie.

Nie zobaczysz, że przeciek pamięci w Active Directory modułów zbierających ustawić raport ponieważ pokazuje tylko używane bajtów. Jednak można użyć utworzonego wydajności monitor danych BLG pliku licznika obiektu: proces sprawdzania, wystąpienie: Lsass, Bajty prywatne: licznik i obiekt: pamięci, Licznik: Zadeklarowane bajty.

Dłuższe obserwacji rozwoju przecieków można użyć "Wykres z próbki właściwości elementów wykresu, Monitor wydajności" co 60 sekund. Czas trwania: 15 000 sekund (> 4 godziny).

Zwiększanie przydziału można także zaobserwować w Menedżerze zadań, kartę Wydajność, element pamięcią, przydzielony. Jest on wyświetlany w obszarze przydzielony/dostępne gigabajtów (GB).

Wskaźniki warunku błędu są następujące:

Zwraca repadmin/showrepl:

Zdarzenie błędu 1699 dzienniki usługi katalogowej:

Podręczne okno aplikacji:

Powiązane artykuły

Zobacz więcej informacji na temat terminologii stosowanej przez firmę Microsoft do opisywania aktualizacji oprogramowania.

Informacje o pliku

Wersja angielskojęzyczna (Stany Zjednoczone) tej aktualizacji oprogramowania instaluje pliki, których atrybuty wymieniono w poniższych tabelach. Daty i godziny odpowiadające tym plikom zostały podane w formacie uniwersalnego czasu koordynowanego (UTC, Coordinated Universal Time). Należy pamiętać, że daty i godziny odpowiadające tym plikom na komputerze lokalnym są wyświetlane w formacie czasu lokalnego oraz z uwzględnieniem bieżącego czasu letniego. Data i czas może również ulec zmianie podczas wykonywania pewnych operacji na plikach.