Rò rỉ bộ nhớ trong LSASS trình điều khiển miền chạy trên Windows Server 2012 R2 và máy chủ AD LDS

Triệu chứng

Một trường mới cấp phát bộ nhớ heap được giới thiệu trong phiên bản Windows Server 2012 R2 dịch vụ thư mục. Điều này khiến xâ Lsass.exe (vai trò kiểm soát miền) và DsaMain.exe quá trình dịch vụ thư mục nhẹ (LDS) có thể tiêu thụ bộ nhớ khả dụng trên bộ kiểm soát miền Windows Server 2012 R2 hoặc LDS server của bạn.

Nguyên nhân

Sự cố này xảy ra trong các trường hợp sau:

• Khuyến mãi bộ điều khiển miền hoặc Thêm bản sao LDS cấu hình thiết lập
  
  Sau khi thêm một bản sao về cấu hình của miền điều khiển quảng cáo hoặc thêm bản LDS trên Windows Server 2012 R2 hoặc Windows 8.1, công cụ nhân bản đã sao chép mọi đối tượng trong ngữ cảnh đặt tên cần trên phiên bản mới. Trong tác vụ, quá trình địa phương Security Authority Server Service (LSASS) hoặc DsaMain.exe có thể gây ra rò rỉ nghiêm trọng khi phân bổ ảo cam byte mặc dù việc sử dụng thực sự là rất thấp. Ngoài ra, DCpromo.log Hiển thị thông báo lỗi sau:

  
  Ngàygiờ[thông tin] sao chép dữ liệu DC = Contoso,DC = com: nhận xxxx trong khoảng xxxx đối tượng và xxxx trong khoảng xxxx phân biệt giá trị tên (DN).
  
  Trả về ngày giờ [cảnh báo] không quan trọng nhân 14
  

  
  Mã lỗi 14 dịch: ERROR_OUTOFMEMORY - không đủ bộ nhớ có sẵn để hoàn tất thao tác này.
  
  Sự kiện sau được ghi vào Nhật ký sự kiện trong hoặc ngay sau khi dcpromo kết thúc:

  Nhật ký sự kiện	Sự kiện nguồn	ID	Mô tả
  Dịch vụ thư mục	Nhân bản	2094	Hiệu năng cảnh báo: nhân bị chậm khi áp dụng các thay đổi cho các đối tượng. Nếu thông báo này xuất hiện thường xuyên, nó chỉ ra các bản sao xảy ra chậm và máy chủ có thể gặp khó khăn giữ thay đổi. Đối tượng DN: CN =khách tênOU =OU, DC =Contoso, DC =com Đối tượng GUID: GUID Phân hoạch DN: DC =Contoso, DC =com Máy chủ: _msdcs bản ghi DNS của đối tác nhân Thời gian (giây): XX Hành động người dùng Lý do phổ biến cho thấy sự chậm trễ này là đối tượng này là đặc biệt lớn, kích thước của các giá trị hoặc giá trị số. Trước tiên bạn nên xem xét xem ứng dụng có thể thay đổi để giảm dung lượng dữ liệu được lưu trữ trên các đối tượng hoặc số giá trị. Nếu đây là một nhóm lớn hoặc danh sách phân phối, bạn có thể xem xét việc nâng cấp độ chức năng rừng lên Windows Server 2003 hoặc cao hơn, vì điều này sẽ cho phép sao chép để làm việc hiệu quả hơn. Bạn nên đánh giá xem nền tảng máy chủ cung cấp các hoạt động đầy đủ về bộ nhớ và xử lý. Cuối cùng, bạn có thể muốn xem xét điều chỉnh cơ sở dữ liệu dịch vụ miền Active Directory bằng cách di chuyển cơ sở dữ liệu và Nhật ký để phân vùng đĩa riêng biệt. Nếu bạn muốn thay đổi giới hạn cảnh báo, khoá đăng ký nằm bên dưới. Giá trị 0 sẽ vô hiệu hoá kiểm tra. Thêm dữ liệu Cảnh báo giới hạn (giây): XX Giới hạn khoá đăng ký: System\CurrentControlSet\Services\NTDS\Parameters\Replicator tối đa đợi bản Cập Nhật đối tượng (giây)
  Dịch vụ thư mục	KCC	1308	Kiểm tra tính thống nhất kiến thức (KCC) đã phát hiện tiếp nỗ lực để tái tạo Dịch vụ thư mục sau đã luôn thất bại. Nỗ lực: 2 Dịch vụ thư mục: CN = NTDS cài đặt, CN =DC001, CN =máy chủ, CN =site1, CN =siteCN =cấu hình, DC =Contoso, DC =com Thời gian (phút): XXXXXXX Đối tượng kết nối dịch vụ thư mục này sẽ bị bỏ qua và kết nối tạm thời mới sẽ được thiết lập để đảm bảo rằng nhân tiếp tục. Sau khi nhân với dịch vụ thư mục này tiếp tục, kết nối tạm thời sẽ bị xoá. Thêm dữ liệu Giá trị lỗi: 14 không đủ bộ nhớ có sẵn để hoàn tất thao tác này.

  
  Lưu ý Sự cố không xảy ra nếu cài đặt chương trình Media (IFM) cho bộ điều khiển miền được sử dụng. Tuy nhiên, IFM quảng cáo có nguồn gốc từ cùng một phiên bản hệ điều hành.

• Sự kiện sau được ghi vào Nhật ký sự kiện trong hoặc ngay sau khi dcpromo kết thúc:

  Nhật ký sự kiện	Sự kiện nguồn	ID	Mô tả
  Dịch vụ thư mục	Nhân bản	2094	Hiệu năng cảnh báo: nhân bị chậm khi áp dụng các thay đổi cho các đối tượng. Nếu thông báo này xuất hiện thường xuyên, nó chỉ ra các bản sao xảy ra chậm và máy chủ có thể gặp khó khăn giữ thay đổi. Đối tượng DN: CN =khách tênOU =OU, DC =Contoso, DC =com Đối tượng GUID: GUID Phân hoạch DN: DC =Contoso, DC =com Máy chủ: _msdcs bản ghi DNS của đối tác nhân Thời gian (giây): XX Hành động người dùng Lý do phổ biến cho thấy sự chậm trễ này là đối tượng này là đặc biệt lớn, kích thước của các giá trị hoặc giá trị số. Trước tiên bạn nên xem xét xem ứng dụng có thể thay đổi để giảm dung lượng dữ liệu được lưu trữ trên các đối tượng hoặc số giá trị. Nếu đây là một nhóm lớn hoặc danh sách phân phối, bạn có thể xem xét việc nâng cấp độ chức năng rừng lên Windows Server 2003 hoặc cao hơn, vì điều này sẽ cho phép sao chép để làm việc hiệu quả hơn. Bạn nên đánh giá xem nền tảng máy chủ cung cấp các hoạt động đầy đủ về bộ nhớ và xử lý. Cuối cùng, bạn có thể muốn xem xét điều chỉnh cơ sở dữ liệu dịch vụ miền Active Directory bằng cách di chuyển cơ sở dữ liệu và Nhật ký để phân vùng đĩa riêng biệt. Nếu bạn muốn thay đổi giới hạn cảnh báo, khoá đăng ký nằm bên dưới. Giá trị 0 sẽ vô hiệu hoá kiểm tra. Thêm dữ liệu Cảnh báo giới hạn (giây): XX Giới hạn khoá đăng ký: System\CurrentControlSet\Services\NTDS\Parameters\Replicator tối đa đợi bản Cập Nhật đối tượng (giây)
  Dịch vụ thư mục	KCC	1308	Kiểm tra tính thống nhất kiến thức (KCC) đã phát hiện tiếp nỗ lực để tái tạo Dịch vụ thư mục sau đã luôn thất bại. Nỗ lực: 2 Dịch vụ thư mục: CN = NTDS cài đặt, CN =DC001, CN =máy chủ, CN =site1, CN =siteCN =cấu hình, DC =Contoso, DC =com Thời gian (phút): XXXXXXX Đối tượng kết nối dịch vụ thư mục này sẽ bị bỏ qua và kết nối tạm thời mới sẽ được thiết lập để đảm bảo rằng nhân tiếp tục. Sau khi nhân với dịch vụ thư mục này tiếp tục, kết nối tạm thời sẽ bị xoá. Thêm dữ liệu Giá trị lỗi: 14 không đủ bộ nhớ có sẵn để hoàn tất thao tác này.

  
  Lưu ý Sự cố không xảy ra nếu cài đặt chương trình Media (IFM) cho bộ điều khiển miền được sử dụng. Tuy nhiên, IFM quảng cáo có nguồn gốc từ cùng một phiên bản hệ điều hành.

• Mã lỗi 14 dịch: ERROR_OUTOFMEMORY - không đủ bộ nhớ có sẵn để hoàn tất thao tác này. Sự kiện sau được ghi vào Nhật ký sự kiện trong hoặc ngay sau khi dcpromo kết thúc:

  Nhật ký sự kiện	Sự kiện nguồn	ID	Mô tả
  Dịch vụ thư mục	Nhân bản	2094	Hiệu năng cảnh báo: nhân bị chậm khi áp dụng các thay đổi cho các đối tượng. Nếu thông báo này xuất hiện thường xuyên, nó chỉ ra các bản sao xảy ra chậm và máy chủ có thể gặp khó khăn giữ thay đổi. Đối tượng DN: CN =khách tênOU =OU, DC =Contoso, DC =com Đối tượng GUID: GUID Phân hoạch DN: DC =Contoso, DC =com Máy chủ: _msdcs bản ghi DNS của đối tác nhân Thời gian (giây): XX Hành động người dùng Lý do phổ biến cho thấy sự chậm trễ này là đối tượng này là đặc biệt lớn, kích thước của các giá trị hoặc giá trị số. Trước tiên bạn nên xem xét xem ứng dụng có thể thay đổi để giảm dung lượng dữ liệu được lưu trữ trên các đối tượng hoặc số giá trị. Nếu đây là một nhóm lớn hoặc danh sách phân phối, bạn có thể xem xét việc nâng cấp độ chức năng rừng lên Windows Server 2003 hoặc cao hơn, vì điều này sẽ cho phép sao chép để làm việc hiệu quả hơn. Bạn nên đánh giá xem nền tảng máy chủ cung cấp các hoạt động đầy đủ về bộ nhớ và xử lý. Cuối cùng, bạn có thể muốn xem xét điều chỉnh cơ sở dữ liệu dịch vụ miền Active Directory bằng cách di chuyển cơ sở dữ liệu và Nhật ký để phân vùng đĩa riêng biệt. Nếu bạn muốn thay đổi giới hạn cảnh báo, khoá đăng ký nằm bên dưới. Giá trị 0 sẽ vô hiệu hoá kiểm tra. Thêm dữ liệu Cảnh báo giới hạn (giây): XX Giới hạn khoá đăng ký: System\CurrentControlSet\Services\NTDS\Parameters\Replicator tối đa đợi bản Cập Nhật đối tượng (giây)
  Dịch vụ thư mục	KCC	1308	Kiểm tra tính thống nhất kiến thức (KCC) đã phát hiện tiếp nỗ lực để tái tạo Dịch vụ thư mục sau đã luôn thất bại. Nỗ lực: 2 Dịch vụ thư mục: CN = NTDS cài đặt, CN =DC001, CN =máy chủ, CN =site1, CN =siteCN =cấu hình, DC =Contoso, DC =com Thời gian (phút): XXXXXXX Đối tượng kết nối dịch vụ thư mục này sẽ bị bỏ qua và kết nối tạm thời mới sẽ được thiết lập để đảm bảo rằng nhân tiếp tục. Sau khi nhân với dịch vụ thư mục này tiếp tục, kết nối tạm thời sẽ bị xoá. Thêm dữ liệu Giá trị lỗi: 14 không đủ bộ nhớ có sẵn để hoàn tất thao tác này.

  
  Lưu ý Sự cố không xảy ra nếu cài đặt chương trình Media (IFM) cho bộ điều khiển miền được sử dụng. Tuy nhiên, IFM quảng cáo có nguồn gốc từ cùng một phiên bản hệ điều hành.

• Bảo mật mô tả (SD) truyền
  
  Một vấn đề rò rỉ bộ nhớ có thể xảy ra khi thay đổi bảo mật trên một đối tượng chứa (miền gốc hoặc đơn vị tổ chức (OU)) được kế thừa nhiều con đối tượng hoặc dưới Anh mặc dù SD truyền. Tuỳ thuộc vào kích thước mục điều khiển truy cập (ACE) được thay đổi và số lượng đối tượng (ví dụ: 500.000), Lan truyền có thể mất nhiều thời gian. Trong thời gian này, quá trình LSASS hoặc DsaMain quá trình có thể liên tục phân bổ cam byte.

• Dài chạy truy vấn
  
  Bất ngờ tiêu thụ nhiều bộ nhớ ảo trong dài chạy truy vấn giao thức truy cập thư mục nhẹ (LDAP) trên máy chủ Windows Server 2012 R2 hoặc trên Windows 8.1 LDAP có thể không hoạt động của bộ nhớ. Truy vấn dài chạy tiêu thụ bộ nhớ bằng cách lấy một đống để mô tả bảo mật của từng đối tượng được chạm vào.

Trong các trường hợp này, khi các byte cam đến số byte có sẵn, Hệ thống sẽ không sử dụng được và có thể thậm chí bị sập.

Giải pháp

Để khắc phục sự cố này, hãy áp dụng hotfix được đề cập trong phần sau.

Để sử dụng hotfix trong ngữ cảnh của chương trình điều khiển vùng (DCPROMO), hãy làm theo các bước sau:

1. Cài đặt dịch vụ miền Active Directory hoặc AD LDS vai trò.

2. Cài đặt cập nhật này hoặc các bản cập nhật Windows Server 2012 R2 và Cập Nhật bảo mật có cùng Ntdsai.dll nhị phân như luôn tích luỹ.

3. Khuyến khích máy tính vào trạng thái của bộ điều khiển vùng.

Quan trọng Nếu bạn cài đặt gói ngôn ngữ sau khi bạn cài đặt hotfix này, bạn phải cài đặt hotfix này. Do đó, chúng tôi khuyến nghị bạn cài đặt bất kỳ ngôn ngữ gói mà bạn cần trước khi bạn cài đặt hotfix này. Để biết thêm thông tin, hãy xem Thêm gói ngôn ngữ vào Windows

Trạng thái

Microsoft đã xác nhận rằng đây là sự cố trong sản phẩm của Microsoft được liệt kê trong phần "Áp dụng cho".

Thông tin

Nếu bạn kích hoạt NTDS\Diagnostics "9 nội bộ xử lý" mức 2 như đã đề cập trong bài viết cơ sở kiến thức Microsoft 314980, bạn có thể thấy các sự kiện ActiveDirectory_DomainService sau. Các sự kiện cho việc phát tán SD dài chạy.

Sự kiện 1257 - chỉ bắt đầu phát tán SD
Sự kiện nội bộ: việc truyền mô tả bảo mật xử lý một sự kiện truyền từ chứa sau.
Chứa: OU = OU, DC = Contoso, DC = com

Sự kiện 2007 - chỉ tiến phát tán SD, đăng nhập mỗi 5 phút
Sự kiện nội bộ: việc truyền mô tả bảo mật đã đạt tới sau chứa và sẽ tiếp tục với việc truyền.
Chứa: OU = OU, DC = Contoso, DC = com
Số lượng đối tượng xử lý quá: xxxx

Sự kiện 1258 - chỉ cuối truyền SD, sau vài giờ
Sự kiện nội bộ: việc truyền mô tả bảo mật đã hoàn thành xử lý một sự kiện truyền từ chứa sau.
Chứa: OU = OU, DC = Contoso, DC = com
Số lượng đối tượng xử lý: ZZZZZZ

Sau khi Active Directory nhân bất kỳ điều khiển miền chạy trên Windows Server 2012 R2 khác hoặc phiên bản LDS trong miền, cùng một vấn đề có thể xảy ra vì phát tán SD được thực hiện tại địa phương.

Bạn sẽ thấy rò rỉ bộ nhớ trong Active Directory thu đặt báo cáo bởi vì nó cho thấy chỉ sử dụng byte. Tuy nhiên, bạn có thể sử dụng tạo hiệu quả theo dõi dữ liệu BLG kiểm tra tệp truy cập đối tượng: quá trình, ví dụ: Lsass, truy cập: Private byte và đối tượng: bộ nhớ, truy cập: tự byte.

Còn quan sát phát triển rò rỉ, bạn có thể sử dụng biểu đồ"với hoạt động màn hình thuộc tính, các yếu tố đồ họa, mẫu" mỗi 60 giây. Thời gian: 15.000 giây (> 4 giờ).

Phân phối tăng cũng có thể quan sát trong quản lý tác vụ, tab hiệu suất, mục bộ nhớ, Committed. Điều này sẽ hiển thị trong Committed/thức Gigabyte (GB).

Chỉ số điều kiện lỗi là như sau:

repadmin /showrepl trả về:

Dịch vụ thư mục Nhật ký sự kiện lỗi 1699:

Ứng dụng cửa sổ bật lên:

Tham khảo

Tìm hiểu thêm về thuật ngữ Microsoft sử dụng để mô tả các bản cập nhật phần mềm.

Thông tin về tệp

Phiên bản tiếng Anh (Mỹ) của bản cập nhật phần mềm này cài đặt tệp có các thuộc tính được liệt kê trong bảng sau. Ngày và giờ của các tệp này được liệt kê theo Giờ Quốc tế Phối hợp (UTC). Xin lưu ý rằng ngày và giờ của các tệp trên máy tính cục bộ của bạn được hiển thị theo giờ địa phương cùng với độ lệch quy ước giờ mùa hè hiện tại của bạn. Ngày và giờ cũng có thể thay đổi khi bạn thực hiện các thao tác trên tệp.