Утечка памяти в процессе LSASS на контроллерах домена под управлением Windows Server 2012 R2 и сервер AD LDS

Симптомы

Новое выделение памяти кучи области была представлена в версии Windows Server 2012 R2 служб каталогов. Он вызывает утечку памяти в Lsass.exe (роль контроллера домена) и DsaMain.exe облегченный службы каталогов (LDS) процесса, который может использовать всю доступную память на контроллере домена Windows Server 2012 R2 или сервер LDS.

Причина

Эта проблема возникает в следующих ситуациях:

• Повышение роли контроллера домена или Добавление LDS реплики конфигурации установки
  
  После добавления реплики в конфигурацию, повышение роли контроллера домена или экземпляра LDS на Windows Server 2012 R2 или Windows 8.1, механизм репликации должен реплицировать каждый объект в контекстов именования, необходимые на новый экземпляр. Во время задания процесс локальной безопасности центра сертификации сервера службы (LSASS) или DsaMain.exe может привести к серьезной утечке когда он выделяет память байт выделенной виртуальной памяти, хотя реального использования очень мала. Кроме того DCpromo.log отображается следующее сообщение об ошибке:

  
  Дата ивремя[INFO] репликация данных DC = Contoso,DC = com: XXXXXX полученных из около XXXXXX объектов и XXXXXX из приблизительно XXXXXX различающееся имя (DN) значения...
  
  Дата время [внимание] не критическую репликацию возвращается 14
  

  
  Преобразует код ошибки 14 для: ERROR_OUTOFMEMORY - недостаточно памяти для завершения этой операции.
  
  Следующее событие записывается в журнал событий, во время или dcpromo вскоре после завершения:

  Журнал событий	Источник событий	ИДЕНТИФИКАТОР	Описание
  Службы каталогов	Репликация	2094	Предупреждение о производительности: репликация была задержана во время применения изменений на следующий объект. Если это сообщение появляется часто, это означает, что репликация происходит медленно и что сервер может иметь трудности, придерживаясь изменения. Объект DN: CN =имя клиента, OU =Подразделение, DC =Contoso, DC =com Объект GUID: GUID Различающееся имя раздела: DC =Contoso, DC =com Сервер: _msdcs DNS-запись партнера репликации Затраченное время (сек): XX Действия пользователя Распространенной причиной для просмотра Эта задержка является особенно большой объем его значения, или в число значений этого объекта. Сначала следует учитывать, можно ли изменить приложение для уменьшения объема данных, хранящихся в объекте или количество значений. Если это большой группы или списка рассылки, может потребоваться создание функциональный уровень леса до Windows Server 2003 или более поздней, так как при этом включается репликация для более эффективной работы. Необходимо выяснить ли Серверная платформа предоставляет достаточно производительности в терминах памяти и вычислительной мощности. Наконец необходимо учитывать настройки базы данных доменных служб Active Directory путем перемещения базы данных и журналов для отдельных разделов диска. Если вы хотите изменить порог предупреждения, ниже приведены в разделе реестра. Значение 0 отключает проверку. Дополнительные данные Порог предупреждений (сек): XX Ограничение реестра: System\CurrentControlSet\Services\NTDS\Parameters\Replicator ожидания для объекта обновления (сек)
  Службы каталогов	KCC	кодом 1308	Средство проверки согласованности знаний (KCC) обнаружила, что последовательные попытки репликации каталогов службой последовательно не удалась. Попыток: 2 Служба каталогов: CN = Параметры NTDS, CN =DC001, CN =серверы, CN =узел1, CN =сайты, CN =Конфигурация, DC =Contoso, DC =com Период времени (в минутах): XXXXXXX Объект подключения для данной службы каталогов будут игнорироваться и новое временное подключение будет установлено, чтобы убедиться, что репликация продолжается. После репликации с этой службой каталогов возобновляется, временное подключение будет удалено. Дополнительные данные Значение ошибки: 14 не хватает памяти для завершения этой операции.

  
  Примечание. Эта проблема не возникает при установке с носителя (IFM) рекламной акции для контроллеров домена используется. Однако повышение IFM должен быть изготовлены из той же версии операционной системы.

• Следующее событие записывается в журнал событий, во время или dcpromo вскоре после завершения:

  Журнал событий	Источник событий	ИДЕНТИФИКАТОР	Описание
  Службы каталогов	Репликация	2094	Предупреждение о производительности: репликация была задержана во время применения изменений на следующий объект. Если это сообщение появляется часто, это означает, что репликация происходит медленно и что сервер может иметь трудности, придерживаясь изменения. Объект DN: CN =имя клиента, OU =Подразделение, DC =Contoso, DC =com Объект GUID: GUID Различающееся имя раздела: DC =Contoso, DC =com Сервер: _msdcs DNS-запись партнера репликации Затраченное время (сек): XX Действия пользователя Распространенной причиной для просмотра Эта задержка является особенно большой объем его значения, или в число значений этого объекта. Сначала следует учитывать, можно ли изменить приложение для уменьшения объема данных, хранящихся в объекте или количество значений. Если это большой группы или списка рассылки, может потребоваться создание функциональный уровень леса до Windows Server 2003 или более поздней, так как при этом включается репликация для более эффективной работы. Необходимо выяснить ли Серверная платформа предоставляет достаточно производительности в терминах памяти и вычислительной мощности. Наконец необходимо учитывать настройки базы данных доменных служб Active Directory путем перемещения базы данных и журналов для отдельных разделов диска. Если вы хотите изменить порог предупреждения, ниже приведены в разделе реестра. Значение 0 отключает проверку. Дополнительные данные Порог предупреждений (сек): XX Ограничение реестра: System\CurrentControlSet\Services\NTDS\Parameters\Replicator ожидания для объекта обновления (сек)
  Службы каталогов	KCC	кодом 1308	Средство проверки согласованности знаний (KCC) обнаружила, что последовательные попытки репликации каталогов службой последовательно не удалась. Попыток: 2 Служба каталогов: CN = Параметры NTDS, CN =DC001, CN =серверы, CN =узел1, CN =сайты, CN =Конфигурация, DC =Contoso, DC =com Период времени (в минутах): XXXXXXX Объект подключения для данной службы каталогов будут игнорироваться и новое временное подключение будет установлено, чтобы убедиться, что репликация продолжается. После репликации с этой службой каталогов возобновляется, временное подключение будет удалено. Дополнительные данные Значение ошибки: 14 не хватает памяти для завершения этой операции.

  
  Примечание. Эта проблема не возникает при установке с носителя (IFM) рекламной акции для контроллеров домена используется. Однако повышение IFM должен быть изготовлены из той же версии операционной системы.

• Преобразует код ошибки 14 для: ERROR_OUTOFMEMORY - недостаточно памяти для завершения этой операции. Следующее событие записывается в журнал событий, во время или dcpromo вскоре после завершения:

  Журнал событий	Источник событий	ИДЕНТИФИКАТОР	Описание
  Службы каталогов	Репликация	2094	Предупреждение о производительности: репликация была задержана во время применения изменений на следующий объект. Если это сообщение появляется часто, это означает, что репликация происходит медленно и что сервер может иметь трудности, придерживаясь изменения. Объект DN: CN =имя клиента, OU =Подразделение, DC =Contoso, DC =com Объект GUID: GUID Различающееся имя раздела: DC =Contoso, DC =com Сервер: _msdcs DNS-запись партнера репликации Затраченное время (сек): XX Действия пользователя Распространенной причиной для просмотра Эта задержка является особенно большой объем его значения, или в число значений этого объекта. Сначала следует учитывать, можно ли изменить приложение для уменьшения объема данных, хранящихся в объекте или количество значений. Если это большой группы или списка рассылки, может потребоваться создание функциональный уровень леса до Windows Server 2003 или более поздней, так как при этом включается репликация для более эффективной работы. Необходимо выяснить ли Серверная платформа предоставляет достаточно производительности в терминах памяти и вычислительной мощности. Наконец необходимо учитывать настройки базы данных доменных служб Active Directory путем перемещения базы данных и журналов для отдельных разделов диска. Если вы хотите изменить порог предупреждения, ниже приведены в разделе реестра. Значение 0 отключает проверку. Дополнительные данные Порог предупреждений (сек): XX Ограничение реестра: System\CurrentControlSet\Services\NTDS\Parameters\Replicator ожидания для объекта обновления (сек)
  Службы каталогов	KCC	кодом 1308	Средство проверки согласованности знаний (KCC) обнаружила, что последовательные попытки репликации каталогов службой последовательно не удалась. Попыток: 2 Служба каталогов: CN = Параметры NTDS, CN =DC001, CN =серверы, CN =узел1, CN =сайты, CN =Конфигурация, DC =Contoso, DC =com Период времени (в минутах): XXXXXXX Объект подключения для данной службы каталогов будут игнорироваться и новое временное подключение будет установлено, чтобы убедиться, что репликация продолжается. После репликации с этой службой каталогов возобновляется, временное подключение будет удалено. Дополнительные данные Значение ошибки: 14 не хватает памяти для завершения этой операции.

  
  Примечание. Эта проблема не возникает при установке с носителя (IFM) рекламной акции для контроллеров домена используется. Однако повышение IFM должен быть изготовлены из той же версии операционной системы.

• Распространения дескриптор безопасности
  
  Утечка памяти может возникнуть, когда изменение безопасности для объекта контейнера (корневой домен или подразделение (OU)) наследуется на множество дочерних объектов или подчиненных подразделений хотя SD распространения. В зависимости от записи управления доступом (ACE) может быть изменен размер и количество объектов (например, 500 000) распространение может занять много времени. В течение этого времени процесса LSASS или DsaMain процесс может постоянно выделять фиксировано байт.

• Долго выполняющиеся запросы
  
  Неожиданно потребление высокой виртуальной памяти во время длительных запросов Lightweight Directory Access Protocol (LDAP) на серверах под управлением Windows 8.1 LDAP или Windows Server 2012 R2 может привести сбои памяти. Длительные запросы потребляют память, получая кучи для дескриптор безопасности каждого объекта, который был затронут.

При достижении фиксировано байт числа байтов, доступных в этих случаях система непригодна к использованию и может даже перестать.

Решение

Чтобы устранить эту проблему, установите исправление, описанное в следующем разделе.

Для использования исправления в контексте продвижения контроллера домена (DCPROMO), выполните следующие действия.

1. Установка роли доменных служб Active Directory или AD LDS.

2. Установите это обновление или установку новых обновлений Windows Server 2012 R2 и обновлений безопасности, которые содержат одинаковые Ntdsai.dll двоичных как они носят накопительный характер.

3. Повысьте уровень компьютера статус контроллера домена.

Важно. Если установить языковой пакет после установки данного исправления, необходимо переустановить это исправление. Таким образом, рекомендуется установить все языковые пакеты, которые прежде чем установить данное исправление. Дополнительные сведения содержатся в статье Установка языковых пакетов для Windows.

Статус

Корпорация Майкрософт подтверждает, что это проблема продуктов Майкрософт, перечисленных в разделе "Относится к".

Дополнительные сведения

Если включен уровень «9 Внутренняя обработка» NTDS\Diagnostics 2, как описано в статье базы знаний Майкрософт 314980, могут появиться следующие события ActiveDirectory_DomainService. Эти события показывают SD распространение продолжительной задачи.

События 1257 -, с которой начинается распространение SD
Внутреннее событие: распространение события, начиная с следующий контейнер обрабатывает задачу распространения дескриптора безопасности.
Контейнер: OU = Подразделение, DC = Contoso, DC = com

События 2007 -, показывающее ход выполнения распространения SD, войти в каждые 5 минут
Внутреннее событие: достигнут следующий контейнер и продолжит распространение задачу распространения дескриптора безопасности.
Контейнер: OU = Подразделение, DC = Contoso, DC = com
Число объектов, проанализированной на данный момент: XXXXXX

1258 события -, указывающее конец распространения SD, через несколько часов
Внутреннее событие: задача распространения дескриптора безопасности завершил обработку события распространения начиная с следующий контейнер.
Контейнер: OU = Подразделение, DC = Contoso, DC = com
Количество обработанных объектов: ПППППП

После репликации Active Directory на контроллерах домена под управлением Windows Server 2012 R2 или LDS экземпляров в домене та же проблема может возникать SD передача выполняется локально.

Вы не увидите, что утечка памяти в Active Directory сборщик набор отчетов, так как он показывает только байт. Тем не менее, можно использовать созданный производительности данных ЖРНАЛ проверки файлов счетчиков объекта: процесса монитора, экземпляр: Lsass, счетчик: Private Bytes и объект: памяти, счетчик: Committed Bytes.

Для более наблюдения разработки утечки «Граф с образцом свойства элементов графа, монитор производительности» можно использовать каждые 60 секунд. Длительность: 15 000 секунд (> 4 часа).

Увеличение выделения можно также наблюдать в диспетчере задач, вкладка производительностьпамяти, выделенныйэлемент. Это отображается в списке Зафиксировано/доступно гигабайт (ГБ).

Ниже перечислены индикаторы состояния ошибки.

Возвращает repadmin /showrepl:

Ошибка события 1699 журналы службы каталогов:

Всплывающее окно приложения:

Ссылки

Дополнительные сведения о терминологии , которую корпорация Майкрософт использует для описания обновлений программного обеспечения.

Сведения о файлах

Английская (США) версия данного обновления программного обеспечения устанавливает файлы, атрибуты которых указаны в приведенных ниже таблицах. Дата и время для этих файлов указаны в формате общего скоординированного времени (UTC). Имейте в виду, что дата и время для этих файлов на локальном компьютере отображаются в местном времени с вашим текущим смещением летнего времени. При выполнении определенных операций с файлами даты и время могут изменяться.