Pierderi de memorie în procesul LSASS pe controlerele de domeniu Windows Server 2012 R2 și AD LDS server

Simptome

O alocare de memorie heap arena nouă a fost introdus în versiunea Windows Server 2012 R2 Directory Services. Se produce o irosire de memorie în Lsass.exe (rolul de controler de domeniu) și DsaMain.exe proces Lightweight Directory Service (LDS) care poate consuma memoria disponibilă pe controlerul de domeniu Windows Server 2012 R2 sau LDS server.

Cauza

Această problemă se produce în următoarele situații:

• Promovarea de controler de domeniu sau adăugarea LDS replică configurația set
  
  După adăugarea o dublură la o configurație de promovare de controler de domeniu sau adăugarea o instanță LDS pe Windows Server 2012 R2 sau Windows 8.1, motorul de reproducere a reproduce fiecare obiect în denumirea obiectelor necesare în instanța noi. În timpul activității, procesul Local Security Authority Server Service (LSASS) sau DsaMain.exe poate provoca o pierdere severă atunci când se alocă virtual octeți angajează deși utilizare real este foarte scăzută. În plus, DCpromo.log afișează următorul mesaj de eroare:

  
  Dataora[INFO] replicarea date DC = Contoso,DC = com: primite XXXXXX din aproximativ XXXXXX obiecte și XXXXXX din aproximativ XXXXXX distins nume (DN) valori...
  
  Data ora [WARNING] Non critice de reproducere a returnat 14
  

  
  Cod de eroare 14 traduce: ERROR_OUTOFMEMORY - Not enough storage este disponibil pentru a efectua această operațiune.
  
  Se înregistrează următorul eveniment în Jurnalul de evenimente în timpul sau la scurt timp după dcpromo se termină:

  Jurnalul de evenimente	Sursă eveniment	ID-UL	Descrierea
  Servicii Director	Reproducere	2094	Performanță avertisment: reproducerea s-a întârziat în timp ce modificările se aplică următorul obiect. Dacă acest mesaj apare frecvent, acesta indică faptul că reproducerea se produce lent și că serverul poate avea dificultăți în păstrarea cu modificările. Obiect DN: CN =numele de Client, OU =OU, DC =Contoso, DC =com Obiect GUID: GUID Partiție DN: DC =Contoso, DC =com Server: _msdcs înregistrare DNS reproducerea partener Timp scurs (secunde): XX Acțiune utilizator Un motiv comun pentru a vedea această întârziere este că acest obiect este mai ales mari, dimensiunea de valori, fie la numărul de valori. Se recomandă mai întâi dacă aplicația poate fi modificată pentru a reduce cantitatea de date stocate pe obiectul sau numărul de valori. Dacă aceasta este o mare grup sau listă de distribuire, vă recomandăm ridicând nivelul funcțional pădure Windows Server 2003 sau mai mare, deoarece acest lucru va permite reproducerea să lucreze mai eficient. Ce trebuie să evalueze dacă platforma server oferă performanțe suficiente în ceea ce priveşte memorie și procesare alimentare. În cele din urmă, se recomandă să luați în considerare reglarea bazei de date Active Directory Domain Services prin mutarea bazei de date și jurnalele pentru a separa partițiile de disc. Dacă doriți să modificați limita de avertizare, cheia de registry este inclus mai jos. O valoare zero va dezactiva verificarea. Date suplimentare Limită de avertizare (secunde): XX Limită de cheie de Registry: System\CurrentControlSet\Services\NTDS\Parameters\Replicator maximă de așteptare pentru actualizare obiect (secunde)
  Servicii Director	KCC	1308	Verificator de consistență cunoștințe (KCC) a detectat că încercările succesive pentru a reproduce cu serviciul director următorul în mod constant a eşuat. Încercări: 2 Serviciu director: CN NTDS setările, CN =DC001, CN =servere, CN =site1, CN = =site-uri, CN =Configuration, DC =Contoso, DC =com Perioadă de timp (minute): XXXXXXX Obiecte de conexiune pentru acest serviciu director va fi ignorată, și va fi stabilită o conexiune nouă temporare care pentru a vă asigura că reproducerea continuă. Odată ce reproducere cu acest serviciu director revine, conexiune temporare vor fi eliminate. Date suplimentare Valoare de eroare: 14 not enough storage este disponibil pentru a efectua această operațiune.

  
  Notă Problema nu se produce dacă instalați de promovare Media (IFM) pentru controlerele de domeniu este utilizat. Cu toate acestea, IFM promovare trebuie să fie provenind de la aceeași versiune de sistem de operare.

• Se înregistrează următorul eveniment în Jurnalul de evenimente în timpul sau la scurt timp după dcpromo se termină:

  Jurnalul de evenimente	Sursă eveniment	ID-UL	Descrierea
  Servicii Director	Reproducere	2094	Performanță avertisment: reproducerea s-a întârziat în timp ce modificările se aplică următorul obiect. Dacă acest mesaj apare frecvent, acesta indică faptul că reproducerea se produce lent și că serverul poate avea dificultăți în păstrarea cu modificările. Obiect DN: CN =numele de Client, OU =OU, DC =Contoso, DC =com Obiect GUID: GUID Partiție DN: DC =Contoso, DC =com Server: _msdcs înregistrare DNS reproducerea partener Timp scurs (secunde): XX Acțiune utilizator Un motiv comun pentru a vedea această întârziere este că acest obiect este mai ales mari, dimensiunea de valori, fie la numărul de valori. Se recomandă mai întâi dacă aplicația poate fi modificată pentru a reduce cantitatea de date stocate pe obiectul sau numărul de valori. Dacă aceasta este o mare grup sau listă de distribuire, vă recomandăm ridicând nivelul funcțional pădure Windows Server 2003 sau mai mare, deoarece acest lucru va permite reproducerea să lucreze mai eficient. Ce trebuie să evalueze dacă platforma server oferă performanțe suficiente în ceea ce priveşte memorie și procesare alimentare. În cele din urmă, se recomandă să luați în considerare reglarea bazei de date Active Directory Domain Services prin mutarea bazei de date și jurnalele pentru a separa partițiile de disc. Dacă doriți să modificați limita de avertizare, cheia de registry este inclus mai jos. O valoare zero va dezactiva verificarea. Date suplimentare Limită de avertizare (secunde): XX Limită de cheie de Registry: System\CurrentControlSet\Services\NTDS\Parameters\Replicator maximă de așteptare pentru actualizare obiect (secunde)
  Servicii Director	KCC	1308	Verificator de consistență cunoștințe (KCC) a detectat că încercările succesive pentru a reproduce cu serviciul director următorul în mod constant a eşuat. Încercări: 2 Serviciu director: CN NTDS setările, CN =DC001, CN =servere, CN =site1, CN = =site-uri, CN =Configuration, DC =Contoso, DC =com Perioadă de timp (minute): XXXXXXX Obiecte de conexiune pentru acest serviciu director va fi ignorată, și va fi stabilită o conexiune nouă temporare care pentru a vă asigura că reproducerea continuă. Odată ce reproducere cu acest serviciu director revine, conexiune temporare vor fi eliminate. Date suplimentare Valoare de eroare: 14 not enough storage este disponibil pentru a efectua această operațiune.

  
  Notă Problema nu se produce dacă instalați de promovare Media (IFM) pentru controlerele de domeniu este utilizat. Cu toate acestea, IFM promovare trebuie să fie provenind de la aceeași versiune de sistem de operare.

• Cod de eroare 14 traduce: ERROR_OUTOFMEMORY - Not enough storage este disponibil pentru a efectua această operațiune. Se înregistrează următorul eveniment în Jurnalul de evenimente în timpul sau la scurt timp după dcpromo se termină:

  Jurnalul de evenimente	Sursă eveniment	ID-UL	Descrierea
  Servicii Director	Reproducere	2094	Performanță avertisment: reproducerea s-a întârziat în timp ce modificările se aplică următorul obiect. Dacă acest mesaj apare frecvent, acesta indică faptul că reproducerea se produce lent și că serverul poate avea dificultăți în păstrarea cu modificările. Obiect DN: CN =numele de Client, OU =OU, DC =Contoso, DC =com Obiect GUID: GUID Partiție DN: DC =Contoso, DC =com Server: _msdcs înregistrare DNS reproducerea partener Timp scurs (secunde): XX Acțiune utilizator Un motiv comun pentru a vedea această întârziere este că acest obiect este mai ales mari, dimensiunea de valori, fie la numărul de valori. Se recomandă mai întâi dacă aplicația poate fi modificată pentru a reduce cantitatea de date stocate pe obiectul sau numărul de valori. Dacă aceasta este o mare grup sau listă de distribuire, vă recomandăm ridicând nivelul funcțional pădure Windows Server 2003 sau mai mare, deoarece acest lucru va permite reproducerea să lucreze mai eficient. Ce trebuie să evalueze dacă platforma server oferă performanțe suficiente în ceea ce priveşte memorie și procesare alimentare. În cele din urmă, se recomandă să luați în considerare reglarea bazei de date Active Directory Domain Services prin mutarea bazei de date și jurnalele pentru a separa partițiile de disc. Dacă doriți să modificați limita de avertizare, cheia de registry este inclus mai jos. O valoare zero va dezactiva verificarea. Date suplimentare Limită de avertizare (secunde): XX Limită de cheie de Registry: System\CurrentControlSet\Services\NTDS\Parameters\Replicator maximă de așteptare pentru actualizare obiect (secunde)
  Servicii Director	KCC	1308	Verificator de consistență cunoștințe (KCC) a detectat că încercările succesive pentru a reproduce cu serviciul director următorul în mod constant a eşuat. Încercări: 2 Serviciu director: CN NTDS setările, CN =DC001, CN =servere, CN =site1, CN = =site-uri, CN =Configuration, DC =Contoso, DC =com Perioadă de timp (minute): XXXXXXX Obiecte de conexiune pentru acest serviciu director va fi ignorată, și va fi stabilită o conexiune nouă temporare care pentru a vă asigura că reproducerea continuă. Odată ce reproducere cu acest serviciu director revine, conexiune temporare vor fi eliminate. Date suplimentare Valoare de eroare: 14 not enough storage este disponibil pentru a efectua această operațiune.

  
  Notă Problema nu se produce dacă instalați de promovare Media (IFM) pentru controlerele de domeniu este utilizat. Cu toate acestea, IFM promovare trebuie să fie provenind de la aceeași versiune de sistem de operare.

• Propagare descriptor (SD) de securitate
  
  O problemă cu pierderi de memorie poate apărea atunci când o modificare de securitate pe un obiect container (domeniu rădăcină sau unitate organizațională (OU)) este moștenită pe multe obiectele fiu sau subordonate ou deşi SD propagare. În funcţie de dimensiunea de intrare de control de acces (ACE) pentru a fi modificate și numărul de obiecte (de exemplu, 500 000), propagarea poate dura mult timp. În acest timp, LSASS procesului sau DsaMain constant poate aloca angajează octeți.

• Interogări de execuție lungă
  
  În mod neașteptat consum mare de memorie virtuală în timpul interogările cu execuție lungă Lightweight Directory Access Protocol (LDAP) pe servere Windows Server 2012 R2 sau bazate pe Windows 8.1 LDAP poate duce la întreruperile de memorie. Interogări de execuție lungă consuma memoria de obținerea unui heap pentru Descriptorul de securitate de fiecare obiect care este afectat.

În aceste situații, când octeți angajează ajunge la numărul de octeți, care sunt disponibile, sistemul devine inutilizabil și poate chiar cădere.

Rezolvare

Pentru a remedia această problemă, aplicați remedierea rapidă care este menționat în secțiunea următoare.

Pentru a utiliza remedierea rapidă în contextul de promotii controler de domeniu (DCPROMO), urmați acești pași:

1. Instalați rolul Active Directory Domain Services sau AD LDS.

2. Instalați această actualizare sau mai noi actualizări de Windows Server 2012 R2 și actualizările de securitate care conțin Ntdsai.dll același binare ca întotdeauna sunt cumulative.

3. Promovarea computerul la o stare de controler de domeniu.

Important Dacă instalați un pachet lingvistic după ce instalați această remediere rapidă, trebuie să reinstalaţi această remediere rapidă. De aceea, vă recomandăm să instalați orice limbă pachetele de care aveți nevoie înainte de a instala această remediere rapidă. Pentru mai multe informații, consultați adăugați pachete lingvistice pentru Windows.

Stare

Microsoft a confirmat că aceasta este o problemă cu produsele Microsoft enumerate în secţiunea „Se aplică la".

Mai multe informații

Dacă activați NTDS\Diagnostics "9 interne de prelucrare" nivel 2 în baza de cunoștințe Microsoft articolul 314980, este posibil să vedeți următoarele evenimente ActiveDirectory_DomainService. Aceste evenimente Arată execuție lungă SD propagare activitate.

Eveniment 1257 - indicând începutul propagarea SD
Eveniment intern: securitate descriptor propagare activitate procesează un eveniment propagare începând container următoare.
Container: OU = OU, DC = Contoso, DC = com

Eveniment 2007 - care indică progresul propagare SD, înregistrează fiecare 5 minute
Eveniment intern: activitatea de propagare Descriptorul de securitate a atins următoarele container și va continua cu propagarea.
Container: OU = OU, DC = Contoso, DC = com
Numărul de obiecte procesate până acum: XXXXXX

Eveniment 1258 - care indică sfârșitul propagare SD, după câteva ore
Eveniment intern: Descriptorul de securitate propagare activitatea s-a terminat un eveniment propagare începând container următoarele de procesare.
Container: OU = OU, DC = Contoso, DC = com
Numărul de obiecte procesate: ZZZZZZ

După replicare Active Directory pentru orice alt controler de domeniu Windows Server 2012 R2 sau LDS instanțe în domeniu, aceeași problemă poate apărea deoarece propagarea SD este efectuată local.

Nu veți vedea pierdere de memorie în Active Directory colector Set raport deoarece Arată utilizează numai octeți. Cu toate acestea, puteţi utiliza create performanță monitor date creare fișier verificare contor obiect: proces, instanță: Lsass, contor: privat octeți, şi obiect: memorie, Counter: angajat octeți.

Pentru a observa mai pierderi de dezvoltare, utilizați un grafic"cu eșantion de proprietăți, elementele grafice, Performance Monitor" 60 de secunde. Durata: 15 000 secunde (> 4 ore).

Alocare creşterea, de asemenea, poate fi observat din Managerul de activități, fila performanță, element de memorie, Committed. Acest lucru este afişat sub Committed/disponibile gigaocteți (GO).

Indicatori de stare de eroare sunt după cum urmează:

Repadmin /showrepl returnează:

Serviciu director jurnalele de evenimente eroare 1699:

Application popup:

Referințe

Aflați ce terminologie utilizează Microsoft pentru a descrie actualizările de software.

Informații despre fișiere

Versiunea în limba engleză (Statele Unite) a acestei actualizări software instalează fișierele care au atributele enumerate în tabelele următoare. Datele şi orele acestor fişiere sunt exprimate în listă în ora universală (UTC). Rețineți că datele şi orele acestor fișiere de pe computerul dvs. local sunt afișate cu ora locală și cu decalajul de oră de vară aferent. Datele şi orele, de asemenea, se pot modifica atunci când efectuați anumite operațiuni pe fișiere.