Minnesläcka i processen LSASS på domänkontrollanter med Windows Server 2012 R2 och AD LDS-server

Symptom

En ny arena heap minnesallokering introducerades i Windows Server 2012 R2-versionen av katalogtjänster. Det orsakar en minnesläcka i Lsass.exe (rollen som domänkontrollant) och DsaMain.exe av Lightweight Directory Service (LDS) process som kan förbruka allt tillgängligt minne på domänkontrollanten med Windows Server 2012 R2 eller LDS-servern.

Orsak

Det här problemet uppstår i följande situationer:

• Befordran av domänkontrollant eller lägga till LDS-replik till konfigurationen ange
  
  Efter att lägga till en replik i en konfiguration med befordran av domänkontrollant eller lägga till en LDS-instans på Windows Server 2012 R2 eller Windows 8.1 har replikeringsmotor för replikering av alla objekt i namngivningskontexter som behövs på den nya instansen. Under aktiviteten, kan myndigheten Server tjänsten LSASS (Local Security) process eller DsaMain.exe orsaka en allvarlig läcka när den allokerar virtuella dedicerade byte, även om den verkliga förbrukningen är mycket låg. DCpromo.log visas dessutom följande felmeddelande:

  
  Tid[INFO] replikerar data DC = Contoso,DC = com: mottagna XXXXXX från ca XXXXXX objekt och XXXXXX från ca XXXXXX unika namn (DN) värden...
  
  Datum tid [varning] icke-kritisk replikering returneras 14
  

  
  Felkod 14 översätts till: ERROR_OUTOFMEMORY - det finns inte tillräckligt med lagringsutrymme som är tillgängligt för att slutföra den här åtgärden.
  
  Följande händelse loggas i Loggboken under eller kort efter dcpromo är klar:

  Händelseloggen	Händelsekällan	ID	Beskrivning
  Directory Services	Replikering	2094	Prestandavarning: replikering har försenats samtidigt som ändringarna i följande objekt. Om detta meddelande uppstår ofta anger att replikeringen sker långsamt och att servern kan det vara svårt att hålla med ändringar. Objekt-DN: CN =klientnamn, OU =OU, DC =Contoso, DC =com Objektets GUID: GUID Partitionens unika namn: DC =Contoso, DC =com Server: _msdcs DNS-post av replikeringspartner Förfluten tid (sek): XX Användaråtgärd En vanlig orsak till att se den här fördröjningen är att objektet är särskilt stora i storleken på dess värden eller i antalet värden. Du bör först om programmet kan ändras för att minska mängden data som lagras i objektet eller antalet värden. Om det är en stor grupp eller en distributionslista, kan du höja funktionalitetsnivån för skogen till Windows Server 2003 eller högre, eftersom detta kommer att aktivera replikering att arbeta mer effektivt. Du bör utvärdera om server-plattformen ger tillräcklig prestanda när det gäller minne och processorkraft. Slutligen, du kanske vill justera Active Directory DS-databasen genom att flytta databasen och loggar till separata diskpartitioner. Om du vill ändra varningsnivå finns registernyckeln nedan. Värdet noll inaktiveras kontrollen. Ytterligare Data Varningsgräns (sek): XX Begränsa registernyckel: System\CurrentControlSet\Services\NTDS\Parameters\Replicator maximala väntar uppdatera objekt (sek)
  Directory Services	KCC	1308	Knowledge Consistency Checker (KCC) har upptäckt att konsekvent försök att replikera med följande katalogtjänsten misslyckades. Försök: 2 Katalogtjänsten: CN = NTDS Settings, CN =DC001, CN =servrar, CN =site1, CN =platser, CN =Configuration, DC =Contoso, DC =com Tid (minuter): XXXXXXX Connection-objektet för den här katalogtjänsten kommer att ignoreras och en ny tillfällig anslutning upprättas så att replikeringen fortsätter. När replikering med den här katalogtjänsten återupptar tillfällig anslutning kommer att tas bort. Ytterligare Data Felvärde: 14 inte finns tillräckligt med lagringsutrymme som är tillgängligt för att slutföra den här åtgärden.

  
  Obs! Problemet uppstår inte om installera från Media (IFM) befordran för domänkontrollanter. Främjande av IFM måste anskaffas från samma version av operativsystemet.

• Följande händelse loggas i Loggboken under eller kort efter dcpromo är klar:

  Händelseloggen	Händelsekällan	ID	Beskrivning
  Directory Services	Replikering	2094	Prestandavarning: replikering har försenats samtidigt som ändringarna i följande objekt. Om detta meddelande uppstår ofta anger att replikeringen sker långsamt och att servern kan det vara svårt att hålla med ändringar. Objekt-DN: CN =klientnamn, OU =OU, DC =Contoso, DC =com Objektets GUID: GUID Partitionens unika namn: DC =Contoso, DC =com Server: _msdcs DNS-post av replikeringspartner Förfluten tid (sek): XX Användaråtgärd En vanlig orsak till att se den här fördröjningen är att objektet är särskilt stora i storleken på dess värden eller i antalet värden. Du bör först om programmet kan ändras för att minska mängden data som lagras i objektet eller antalet värden. Om det är en stor grupp eller en distributionslista, kan du höja funktionalitetsnivån för skogen till Windows Server 2003 eller högre, eftersom detta kommer att aktivera replikering att arbeta mer effektivt. Du bör utvärdera om server-plattformen ger tillräcklig prestanda när det gäller minne och processorkraft. Slutligen, du kanske vill justera Active Directory DS-databasen genom att flytta databasen och loggar till separata diskpartitioner. Om du vill ändra varningsnivå finns registernyckeln nedan. Värdet noll inaktiveras kontrollen. Ytterligare Data Varningsgräns (sek): XX Begränsa registernyckel: System\CurrentControlSet\Services\NTDS\Parameters\Replicator maximala väntar uppdatera objekt (sek)
  Directory Services	KCC	1308	Knowledge Consistency Checker (KCC) har upptäckt att konsekvent försök att replikera med följande katalogtjänsten misslyckades. Försök: 2 Katalogtjänsten: CN = NTDS Settings, CN =DC001, CN =servrar, CN =site1, CN =platser, CN =Configuration, DC =Contoso, DC =com Tid (minuter): XXXXXXX Connection-objektet för den här katalogtjänsten kommer att ignoreras och en ny tillfällig anslutning upprättas så att replikeringen fortsätter. När replikering med den här katalogtjänsten återupptar tillfällig anslutning kommer att tas bort. Ytterligare Data Felvärde: 14 inte finns tillräckligt med lagringsutrymme som är tillgängligt för att slutföra den här åtgärden.

  
  Obs! Problemet uppstår inte om installera från Media (IFM) befordran för domänkontrollanter. Främjande av IFM måste anskaffas från samma version av operativsystemet.

• Felkod 14 översätts till: ERROR_OUTOFMEMORY - det finns inte tillräckligt med lagringsutrymme som är tillgängligt för att slutföra den här åtgärden. Följande händelse loggas i Loggboken under eller kort efter dcpromo är klar:

  Händelseloggen	Händelsekällan	ID	Beskrivning
  Directory Services	Replikering	2094	Prestandavarning: replikering har försenats samtidigt som ändringarna i följande objekt. Om detta meddelande uppstår ofta anger att replikeringen sker långsamt och att servern kan det vara svårt att hålla med ändringar. Objekt-DN: CN =klientnamn, OU =OU, DC =Contoso, DC =com Objektets GUID: GUID Partitionens unika namn: DC =Contoso, DC =com Server: _msdcs DNS-post av replikeringspartner Förfluten tid (sek): XX Användaråtgärd En vanlig orsak till att se den här fördröjningen är att objektet är särskilt stora i storleken på dess värden eller i antalet värden. Du bör först om programmet kan ändras för att minska mängden data som lagras i objektet eller antalet värden. Om det är en stor grupp eller en distributionslista, kan du höja funktionalitetsnivån för skogen till Windows Server 2003 eller högre, eftersom detta kommer att aktivera replikering att arbeta mer effektivt. Du bör utvärdera om server-plattformen ger tillräcklig prestanda när det gäller minne och processorkraft. Slutligen, du kanske vill justera Active Directory DS-databasen genom att flytta databasen och loggar till separata diskpartitioner. Om du vill ändra varningsnivå finns registernyckeln nedan. Värdet noll inaktiveras kontrollen. Ytterligare Data Varningsgräns (sek): XX Begränsa registernyckel: System\CurrentControlSet\Services\NTDS\Parameters\Replicator maximala väntar uppdatera objekt (sek)
  Directory Services	KCC	1308	Knowledge Consistency Checker (KCC) har upptäckt att konsekvent försök att replikera med följande katalogtjänsten misslyckades. Försök: 2 Katalogtjänsten: CN = NTDS Settings, CN =DC001, CN =servrar, CN =site1, CN =platser, CN =Configuration, DC =Contoso, DC =com Tid (minuter): XXXXXXX Connection-objektet för den här katalogtjänsten kommer att ignoreras och en ny tillfällig anslutning upprättas så att replikeringen fortsätter. När replikering med den här katalogtjänsten återupptar tillfällig anslutning kommer att tas bort. Ytterligare Data Felvärde: 14 inte finns tillräckligt med lagringsutrymme som är tillgängligt för att slutföra den här åtgärden.

  
  Obs! Problemet uppstår inte om installera från Media (IFM) befordran för domänkontrollanter. Främjande av IFM måste anskaffas från samma version av operativsystemet.

• Spridning av säkerhetsbeskrivare (SD)
  
  En minnesläcka kan uppstå när en säkerhetsändring på ett behållarobjekt (domänroten eller organisationsenheten (OU)) ärvs på många underordnade objekt eller underordnade organisationsenheter men SD spridning. Spridning kan ta lång tid beroende på storleken på åtkomstkontrollpost (ACE) som ska ändras och antalet objekt (t ex 500 000). Under den här tiden får i LSASS eller DsaMain processen ständigt fördela dedicerade byte.

• Tidskrävande frågor
  
  Oväntat kan hög virtuellt minne som används vid långvarig Lightweight Directory Access Protocol (LDAP) frågor på Windows Server 2012 R2 eller Windows 8.1-baserade LDAP-servrar leda till driftstopp minne. Tidskrävande frågor minne genom att skaffa en heap för säkerhetsbeskrivaren för varje objekt är beröring.

I dessa situationer när dedicerade byte kommer antalet byte som är tillgängliga i systemet blir oanvändbar och kan även krasch.

Lösning

Installera snabbkorrigeringen som beskrivs i följande avsnitt om du vill åtgärda det här problemet.

Så här använder du snabbkorrigeringen i kontexten av domänkontrollant kampanjer (DCPROMO):

1. Installera Active Directory DS-eller AD LDS-rollen.

2. Installera den här uppdateringen eller nyare Windows Server 2012 R2 uppdateringar och säkerhetsuppdateringar som innehåller den binära samma Ntdsai.dll som de alltid är kumulativa.

3. Göra datorn till en status för domänkontrollanten.

Viktigt Om du installerar ett språkpaket efter installation av den här snabbkorrigeringen måste du installera om den här snabbkorrigeringen. Därför rekommenderar vi att du installerar alla språk Pack innan du installerar den här snabbkorrigeringen. Mer information finns i lägga till språkpaket i Windows.

Status

Microsoft har bekräftat att detta är ett problem i Microsoft-produkterna som nämns i avsnittet ”gäller”.

Mer Information

Om du aktiverar NTDS\Diagnostics ”9 intern bearbetning” nivå 2, som nämns i Microsoft Knowledge Base-artikel 314980visas följande ActiveDirectory_DomainService händelser. Dessa händelser visa aktiviteten för spridning av tidskrävande SD.

Händelsen 1257 - som anger början av SD-spridning
Intern händelse: aktiviteten för spridning av säkerhetsbeskrivare behandlas en spridningshändelse från följande behållare.
Behållare: OU = OU, DC = Contoso, DC = com

Händelsen 2007 - som visar förloppet för SD-spridning, loggas var femte minut
Intern händelse: aktiviteten för spridning av säkerhetsbeskrivare har uppnått följande behållaren och fortsätter med spridning.
Behållare: OU = OU, DC = Contoso, DC = com
Antal objekt bearbetas hittills: XXXXXX

Händelsen 1258 - ange slutet på SD-spridning efter några timmar
Intern händelse: aktiviteten för spridning av säkerhetsbeskrivare har bearbetat en spridningshändelse från följande behållare.
Behållare: OU = OU, DC = Contoso, DC = com
Antal bearbetade objekt: ZZZZZZ

Samma problem kan uppstå eftersom SD spridningen utförs lokalt efter Active Directory-replikering till alla andra Windows Server 2012 R2-baserad domänkontrollant eller LDS-instanser i domänen.

Minnesläcka i Active Directory Collector ange rapporten eftersom det visar endast används byte visas inte. Du kan använda skapade prestanda monitor data BLG filkontroll räknaren objekt: Process, instans: Lsass, räknare: privata byte och objekt: minne, räknare: dedicerade byte.

För längre observation av läckage utveckling, kan du använda ett ”diagram med prestanda Monitor egenskaper för diagramelement, exempel” var 60: e sekund. Varaktighet: 15 000 sekunder (> 4 timmar).

Den ökande fördelningen kan också observeras i Aktivitetshanteraren, fliken prestandaobjektet minne, bekräftad. Detta visas under bekräftad/tillgängliga gigabyte (GB).

Indikatorer om felet är följande:

repadmin/showrepl returnerar:

Katalogtjänsten loggar felhändelse 1699:

Program-popup:

Referenser

Lär dig mer om den terminologi som Microsoft använder för att beskriva programuppdateringar.

Filinformation

Den engelska (USA) versionen av den här programuppdateringen installerar filer med de filattribut som visas i följande tabeller. Datum och tider för dessa filer anges i UTC-tid (UTC). Tänk på att datum och tider för dessa filer på den lokala datorn visas i din lokala tid och med din aktuella sommartid. Datum och tider kan även ändras när du utför vissa åtgärder på filerna.