Втрата пам'яті, LSASS процесу на контролерах домену Windows Server 2012 R2 і AD LDS сервера.

Причини

Новий розподіл пам'яті динамічної пам'яті арену, вони з'явилися у версії Windows Server 2012 R2 служби каталогів. Це викликає витік пам'яті, Lsass.exe (ролі контролера домену) і DsaMain.exe процесу спрощена служба каталогів-(LDS), які можуть споживати, обсяг доступної пам'яті LDS сервера або контролера домену в Windows Server 2012 R2.

Причина

Ця проблема виникає в таких умов:

• Підвищення з контролером домену, або Додавання LDS репліки конфігурації вибір
  
  Після додавання репліки до конфігурації за сприяння з контролера домену або додавання до екземпляра LDS на Windows Server 2012 R2 або Windows 8.1, має реплікація всіх об'єктів у іменування на новий екземпляр в реплікації. Під час завдання локальної безпеки сертифікації сервера Service (LSASS) процес або DsaMain.exe може спричинити серйозні витік, коли він виділяє віртуального затверджений байт, хоча реального використання дуже малий. Крім того, файли Dcpromo, відображається таке повідомлення про помилку:

  
  Дата,час[INFO] реплікації даних DC = Contoso,DC = com: отриманої на XXXXXX з приблизно на XXXXXX об'єктів і XXXXXX, з приблизно XXXXXX відрізняються, ім'я (DN) значення.
  
  Дата, час [WARNING] не критичні реплікації повертається в 14
  

  
  Помилка з кодом 14, що призводить до: ERROR_OUTOFMEMORY - недостатньо пам'яті доступний для виконання цієї операції.
  
  Яку буде реєструватися наступна подія в журналі подій, під час або невдовзі після dcpromo, буде завершено.

  Журнал подій	Джерело події	ІДЕНТИФІКАТОР	Опис
  Служба каталогів	Реплікація	2094	Продуктивність попередження: реплікація було затримки, коли під час, щоб внести зміни у такий об'єкт. Якщо це повідомлення часто, це означає, що реплікації відбувається повільніше, і що сервер, можливо, важко, відповідно змін. Об'єкт DN: CN =клієнта Name, OU =ОП, DC =Contoso, DC =com Об'єкт GUID:- GUID Розділ DN: DC =Contoso, DC =com Сервер:- _msdcs DNS-записи реплікації партнер Проміжок часу (у секундах): XX Дії користувача Найпоширеніша причина, щоб побачити це затримки, що цей об'єкт особливо великого розміру його значення або кількості значень. Спочатку слід визначити, чи застосунок може бути змінено, щоб зменшити обсяг даних, які зберігаються в об'єкті або значення. Якщо великі групи або списку розсилки, можна використовувати порушує функціональний рівень лісу Windows Server 2003 або більшої, тому що це дасть можливість працювати ефективніше реплікації. Слід оцінити, чи є сервера платформи, забезпечує достатню продуктивності в умовах пам'яті та обробки. Нарешті, ви можете потрібно взяти до уваги, що настройки бази даних служби доменів Active Directory, переміщення бази даних та журналів для розділення розділи дисків. Якщо ви хочете, щоб змінити обмеження попередження, нижче входить розділ реєстру. Нульове значення, буде вимкнути перевірку. Додаткові дані. Попередження обмеження (у секундах): XX Обмеження розділ реєстру: System\CurrentControlSet\Services\NTDS\Parameters\Replicator максимально очікування для оновлення (в секундах) об'єкта.
  Служба каталогів	KCC	вид	Перевірка узгодженості знань (КСС) виявила, що наступні спроби відтворити такі служби каталогів вдалося послідовно. Спроби: 2 Реєстр служби: CN = NTDS Settings, CN =DC001, CN =серверів, CN =site1, CN =веб-сайтів, CN =Configuration, DC =Contoso, DC =com Проміжок часу (хвилин): XXXXXXX Об'єкт підключення для службу каталогів можна ігнорувати і тимчасові з'єднання буде установлено, щоб переконатися, що реплікацію раніше. Після того, як реплікації з службу каталогів відновлено, тимчасове з'єднання, буде видалено. Додаткові дані. Помилка значення: 14 не недостатньо пам'яті, доступний для виконання цієї операції.

  
  Примітка. Цю проблему, не відбувається, якщо інсталювати з носія (IFM) акції, для контролерів домену. Однак, IFM Акції має джерел, з іншої версії операційної системи.

• Яку буде реєструватися наступна подія в журналі подій, під час або невдовзі після dcpromo, буде завершено.

  Журнал подій	Джерело події	ІДЕНТИФІКАТОР	Опис
  Служба каталогів	Реплікація	2094	Продуктивність попередження: реплікація було затримки, коли під час, щоб внести зміни у такий об'єкт. Якщо це повідомлення часто, це означає, що реплікації відбувається повільніше, і що сервер, можливо, важко, відповідно змін. Об'єкт DN: CN =клієнта Name, OU =ОП, DC =Contoso, DC =com Об'єкт GUID:- GUID Розділ DN: DC =Contoso, DC =com Сервер:- _msdcs DNS-записи реплікації партнер Проміжок часу (у секундах): XX Дії користувача Найпоширеніша причина, щоб побачити це затримки, що цей об'єкт особливо великого розміру його значення або кількості значень. Спочатку слід визначити, чи застосунок може бути змінено, щоб зменшити обсяг даних, які зберігаються в об'єкті або значення. Якщо великі групи або списку розсилки, можна використовувати порушує функціональний рівень лісу Windows Server 2003 або більшої, тому що це дасть можливість працювати ефективніше реплікації. Слід оцінити, чи є сервера платформи, забезпечує достатню продуктивності в умовах пам'яті та обробки. Нарешті, ви можете потрібно взяти до уваги, що настройки бази даних служби доменів Active Directory, переміщення бази даних та журналів для розділення розділи дисків. Якщо ви хочете, щоб змінити обмеження попередження, нижче входить розділ реєстру. Нульове значення, буде вимкнути перевірку. Додаткові дані. Попередження обмеження (у секундах): XX Обмеження розділ реєстру: System\CurrentControlSet\Services\NTDS\Parameters\Replicator максимально очікування для оновлення (в секундах) об'єкта.
  Служба каталогів	KCC	вид	Перевірка узгодженості знань (КСС) виявила, що наступні спроби відтворити такі служби каталогів вдалося послідовно. Спроби: 2 Реєстр служби: CN = NTDS Settings, CN =DC001, CN =серверів, CN =site1, CN =веб-сайтів, CN =Configuration, DC =Contoso, DC =com Проміжок часу (хвилин): XXXXXXX Об'єкт підключення для службу каталогів можна ігнорувати і тимчасові з'єднання буде установлено, щоб переконатися, що реплікацію раніше. Після того, як реплікації з службу каталогів відновлено, тимчасове з'єднання, буде видалено. Додаткові дані. Помилка значення: 14 не недостатньо пам'яті, доступний для виконання цієї операції.

  
  Примітка. Цю проблему, не відбувається, якщо інсталювати з носія (IFM) акції, для контролерів домену. Однак, IFM Акції має джерел, з іншої версії операційної системи.

• Помилка з кодом 14, що призводить до: ERROR_OUTOFMEMORY - недостатньо пам'яті доступний для виконання цієї операції. Яку буде реєструватися наступна подія в журналі подій, під час або невдовзі після dcpromo, буде завершено.

  Журнал подій	Джерело події	ІДЕНТИФІКАТОР	Опис
  Служба каталогів	Реплікація	2094	Продуктивність попередження: реплікація було затримки, коли під час, щоб внести зміни у такий об'єкт. Якщо це повідомлення часто, це означає, що реплікації відбувається повільніше, і що сервер, можливо, важко, відповідно змін. Об'єкт DN: CN =клієнта Name, OU =ОП, DC =Contoso, DC =com Об'єкт GUID:- GUID Розділ DN: DC =Contoso, DC =com Сервер:- _msdcs DNS-записи реплікації партнер Проміжок часу (у секундах): XX Дії користувача Найпоширеніша причина, щоб побачити це затримки, що цей об'єкт особливо великого розміру його значення або кількості значень. Спочатку слід визначити, чи застосунок може бути змінено, щоб зменшити обсяг даних, які зберігаються в об'єкті або значення. Якщо великі групи або списку розсилки, можна використовувати порушує функціональний рівень лісу Windows Server 2003 або більшої, тому що це дасть можливість працювати ефективніше реплікації. Слід оцінити, чи є сервера платформи, забезпечує достатню продуктивності в умовах пам'яті та обробки. Нарешті, ви можете потрібно взяти до уваги, що настройки бази даних служби доменів Active Directory, переміщення бази даних та журналів для розділення розділи дисків. Якщо ви хочете, щоб змінити обмеження попередження, нижче входить розділ реєстру. Нульове значення, буде вимкнути перевірку. Додаткові дані. Попередження обмеження (у секундах): XX Обмеження розділ реєстру: System\CurrentControlSet\Services\NTDS\Parameters\Replicator максимально очікування для оновлення (в секундах) об'єкта.
  Служба каталогів	KCC	вид	Перевірка узгодженості знань (КСС) виявила, що наступні спроби відтворити такі служби каталогів вдалося послідовно. Спроби: 2 Реєстр служби: CN = NTDS Settings, CN =DC001, CN =серверів, CN =site1, CN =веб-сайтів, CN =Configuration, DC =Contoso, DC =com Проміжок часу (хвилин): XXXXXXX Об'єкт підключення для службу каталогів можна ігнорувати і тимчасові з'єднання буде установлено, щоб переконатися, що реплікацію раніше. Після того, як реплікації з службу каталогів відновлено, тимчасове з'єднання, буде видалено. Додаткові дані. Помилка значення: 14 не недостатньо пам'яті, доступний для виконання цієї операції.

  
  Примітка. Цю проблему, не відбувається, якщо інсталювати з носія (IFM) акції, для контролерів домену. Однак, IFM Акції має джерел, з іншої версії операційної системи.

• Безпека дескриптор (SD) розповсюдження
  
  Випуск втрата пам'яті, можуть виникнути під час зміни безпеки об'єкту контейнер (корінь домену або організаційного підрозділу (ОП)), успадкованих для багатьох дочірніх об'єктів або підпорядковані підрозділи хоча SD розповсюдження. Залежно від того, керування доступом (ACE), щоб змінити розмір і кількість об'єктів (наприклад, 500 000) для поширення може тривати досить довго. При цьому процес, LSASS або DsaMain процесу може постійно виділити затверджений байт.

• Тривалими запитами
  
  Несподівано споживання віртуальної пам'яті, під час тривалими запитами легкий протокол доступу до каталогів (LDAP), на серверах, Windows Server 2012 R2 або LDAP, під керуванням Windows 8.1, може призвести до перебоїв у роботі пам'яті. Тривалими запитами споживання пам'яті, після отримання динамічної пам'яті для дескриптора безпеки кожний об'єкт, який буде змінено, є.

У цих ситуаціях коли затверджений байт байтів, які доступні, система стає непридатним для використання, може навіть несправність.

Вирішення

Щоб вирішити цю проблему, інсталюйте виправлення, описане в наступному розділі.

Щоб скористатися виправленням, в умовах підвищення контролера домену (DCPROMO), виконайте такі дії:

1. Інсталюйте роль служби доменів Active Directory або AD LDS.

2. Інсталюйте це оновлення або новішої версії оновлення для Windows Server 2012 R2 та оновлення безпеки, які містять однакові Ntdsai.dll, Двійкові, як вони завжди сукупний пакет.

3. Підвищити комп'ютер до стану, контролера домену.

Увага! Якщо інсталювати мовний пакет після інсталяції цього виправлення, потрібно повторно інсталювати це виправлення. Тому рекомендується інсталювати будь-яку пакетів, що вам потрібно, перш ніж, інсталювати це виправлення. Щоб отримати додаткові відомості, див. Додавання мовних пакетів для ОС Windows.

Стан

Корпорація Майкрософт підтвердила існування цієї неполадки у продуктах Майкрософт, перелічених у розділі "Застосовується до".

Додаткові відомості

Якщо ввімкнути NTDS\Diagnostics "9 внутрішньої обробку" рівень 2, як зазначено у базі знань Майкрософт статтю, 314980, може відображатися ActiveDirectory_DomainService наведені нижче події. Ці події показують, тривалих SD розповсюдження завдання.

Подія 1257 - вказує на запуск SD-розповсюдження
Внутрішні події: розповсюдження події, починаючи з таких контейнер обробляє завдання розповсюдження дескриптор безпеки.
Контейнер: OU = ОП, DC = Contoso, DC = com

Подія 2007 – вказує на перебіг SD розповсюдження, що виконано кожні 5 хвилин
Внутрішні події: завдання розповсюдження дескриптор безпеки, досяг таких контейнер і продовжить поширення.
Контейнер: OU = ОП, DC = Contoso, DC = com
Кількість об'єктів, поки обробити: XXXXXX

Подія 1258 - вказує на кінець SD, розповсюдження, через кілька годин.
Внутрішні події: дескриптор безпеки розповсюдження завдання буде завершено, обробки подій розповсюдження, починаючи з таких контейнер.
Контейнер: OU = ОП, DC = Contoso, DC = com
Кількість об'єктів, які обробляються: ZZZZZZ

Після реплікації будь-який інший контролер домену Windows Server 2012 R2 або LDS екземпляри домену Active Directory проблема може виникнути через те, що SD-розповсюдження виконується локально.

Відобразиться в Active Directory збирач набір звіт, втрата пам'яті, оскільки це показує, використовується байт. Проте можна використовувати створені продуктивність монітора БЛГ файлу, перевіряючи лічильник об'єкт: даних, екземпляра: Lsass лічильник: особисті байт і об'єкт: пам'яті, лічильники: докладає всіх зусиль, байт.

Для більше спостереження витік розробки можна використовувати "Графік продуктивності монітор, властивості, графік елементів, зразок" кожні 60 секунд. Тривалість: 15 000 секунд (> 4 годин).

Збільшення виділення можна спостерігати у диспетчері завдань, вкладку продуктивність, елемент пам'яті, затверджений. Це відображається в розділі затверджений/доступне гігабайт (ГБ).

Помилку одразу показники наведено нижче.

Repadmin /showrepl повертає:

Служба каталогів, реєструє подія помилки, 1699:

Спливне вікно застосунку:

Посилання

Відомості про термінологію , яку використовує корпорація Майкрософт для опису оновлень програмного забезпечення.

Відомості про файли

Англійська (США) версія цього оновлення програмного забезпечення інсталює файли з атрибутами, зазначеними в наведених нижче таблицях. Значення дати й часу для цих файлів наведено за всесвітнім координованим часом (UTC). Зауважте, що значення дати й часу для цих файлів на вашому локальному комп'ютері відображаються за вашим місцевим часом із врахуванням переходу на літній час. Значення дати й часу також можуть змінюватися після виконання певних дій із файлами.