Actualiza o controlador de domínio baseado no servidor 2012 R2 ou 2012 de servidor do Windows Windows, de Abril de 2016

Problemas corrigidos nesta actualização

Problema 1 Insere mais rápido para o Active Directory alterar notificação fila atrasos de manutenção de conjunto de threads de fila de Thread assíncrono (ATQ), as consultas LDAP e replicação de notificação com base.

Quando esta condição for verdadeira, o controlador de domínio (DC) Local Security Authority Subsystem Service (LSASS) consome utilização elevada da CPU ou 100% da CPU em casos extremos. As seguintes operações são bloqueadas quando as filas de notificação de alteração desenvolver-se num determinado DC:

• Replicação do Active Directory accionados por notificação de alteração é atrasada.

• Registo de threads ATQ ou anulação do registo é atrasada.

• Escreve o DC é bloqueadas.

• Quando a cadeia de inserção está em curso, o processamento de fila de notificação de também é bloqueado. Replicação de notificação com base é bloqueada durante esta operação.

• Utilização da CPU para o processo de LSASS executa fria no DC que todas as várias operações são bloqueadas e o thread apenas obtém o tempo de CPU como a replicação do Active Directory.

Esta actualização inclui um limite máximo no número de itens de notificação de alteração que irá adicionar um controlador de domínio para a fila.  Uma vez atingido este limiar, o DC irá responder com "ERROR_DS_ADMIN_LIMIT_EXCEEDED".  Por predefinição, o limiar é 4096.  A seguinte chave de registo pode ser adicionada para modificar este limiar, conforme necessário:

HKEY_LOCAL_MACHINE\CCS\Services\NTDS\Parameters DWORD "Máximo LDAP simultâneas notificações"Um valor máximo para as notificações de alterações é demasiado baixo pode resultar em falhas desnecessárias para alterar os clientes de notificação. Por conseguinte, é importante determinar o intervalo "normal" deste contador antes da implementação da correcção.  Para estabelecer o intervalo superior de fila de notificação de alteração, considere a monitorizar o contador de tamanho da fila notificar DS em todos os controladores de domínio na floresta para determinar os valores de pico.

Considere uma memória intermédia de, pelo menos, 25% sobre o valor de pico experientes durante a monitorização deste contador para determinar um valor adequado de máximo notificações de LDAP em simultâneo.

Nota A correcção para este problema está incluída na actualização de segurança 3160352.

Problema 2 Muda o nome de domínio computadores do Microsoft SQL Server membros falha com erro "o serviço de directório está ocupado".

Este problema ocorre quando se verificam as seguintes condições:

• Microsoft SQL Server é instalado num computador baseado no Windows que esteja associado a um domínio do Active Directory.

• O nome do SPN (Service Principal) que é registado pelo Microsoft SQL Server ou Microsoft SQL Express contém caracteres não numéricos após o ":" delimitadores no atributo de SPN da conta de computador que está a ser renomeada.

• No painel de controlo, é atribuído ao computador que hospeda o Microsoft SQL Server.

• A operação de mudança de nome de serviços de um controlador de domínio do Windows Server R2 de 2012.

Do mesmo modo, adicionar um nome de computador alternativo também irá falhar. E o comando de NomeComputador NetDom adicionar falhar com a seguinte um ecrã erro:

Para mais informações sobre este problema, consulte a actualização 3152220.


Issue 3

Uma tentativa de início de sessão único no Web site é contada como duas tentativas de início de sessão no Active Directory. Por conseguinte, a contagem de palavra-passe incorrecta aumenta por dois, em vez de por uma.



Problema 4 Violação de acesso LSASS ocorre em conjunto com o erro "0xc0000005" no Windows Server 2012 R2 DC Azure AD ligar identidade sincronização clientes que executam "Importação completa" o destino.

Quando um utilizador executa "Importação completa" no cliente de sincronização de identidade Azure AD ligar contra um controlador de domínio baseado no Windows Server R2 de 2012, violação de acesso ocorre no processo de LSASS e reinicia o DC com código de erro "0xc0000005". Este problema ocorre quando o Active Directory ' Reciclagem ' está desactivada.

Para mais informações sobre este problema, consulte a actualização 3145339.



Problema 5

Lsass.exe falha num DC com uma violação de acesso quando um utilizador executa uma consulta de Lightweight Directory Access Protocol (LDAP) recursiva contra um grupo do Active Directory que tenha muitos grupos aninhados.  Um exemplo de uma consulta que pode accionar este tipo de falha de sistema é o seguinte:

t.txt de -f de ldifde -d "dc =contoso, dc = com" - r "(memberof:memberID: = cn =cn, cn =cn, dc =contoso, dc = com)"

Como obter esta actualização

Importante Se instalar um language pack depois de instalar esta actualização, terá de reinstalar esta actualização. Por conseguinte, recomendamos que instalar quaisquer language packs que necessita antes de instalar esta actualização. Para mais informações, consulte adicionar language packs para Windows.

Atualizar informações detalhadas

Estado

A Microsoft confirmou que este é um problema nos produtos da Microsoft listados na secção "Aplica-se a".

Referências

Obter informações sobre a terminologia utilizada pela Microsoft para descrever actualizações de software.

Informações de ficheiro

A versão inglesa (Estados Unidos) desta actualização de software instala ficheiros que têm os atributos listados nas tabelas seguintes.

Nota Para atributos de ficheiro do Windows Server 2012, consulte 3160352 de actualização de segurança.