Windows Server 2012 R2 hoặc Windows Server 2012 miền điều khiển Cập Nhật, ngày 2016

Sự cố được khắc phục trong bản cập nhật này

Vấn đề 1 Nhanh chèn vào thư mục hoạt động thay đổi thông báo hàng đợi chậm trễ dịch vụ hàng đợi luồng dị bộ (ATQ) chủ đề chung, LDAP truy vấn và thông báo máy nhân bản.

Khi hiện tượng này là đúng, điều khiển vùng (DC) địa phương Security Authority Subsystem Service (LSASS) tiêu thụ sử dụng CPU cao hoặc sử dụng CPU 100% trong trường hợp cực kỳ. Các tác vụ sau bị chặn khi thay đổi thông báo hàng đợi phát triển trên DC cho:

• Nhân bản Active Directory được kích hoạt bằng cách thay đổi thông báo bị trì hoãn.

• ATQ luồng đăng ký hoặc huỷ chậm.

• Ghi vào DC bị chặn.

• Khi chèn chuỗi liên tục, xử lý thông báo hàng cũng bị chặn. Thông báo trên nhân bị chặn trong thao tác này.

• Sử dụng CPU LSASS trình chạy lạnh trên DC tất cả nhiều thao tác nhất định bị chặn và các chủ đề chỉ được thời gian CPU nhân bản Active Directory.

Bản cập nhật này bao gồm giới hạn về số lượng mục thông báo thay đổi bộ điều khiển miền sẽ thêm vào hàng đợi.  Sau khi đạt tới ngưỡng này DC sẽ đáp ứng với "ERROR_DS_ADMIN_LIMIT_EXCEEDED".  Theo mặc định, ngưỡng là 4096.  Khoá đăng ký sau có thể được thêm vào để thay đổi ngưỡng này khi cần:

HKEY_LOCAL_MACHINE\CCS\Services\NTDS\Parameters giá "Tối đa đồng thời LDAP thông báo"Giá trị tối đa cho các thông báo thay đổi quá thấp có thể gây ra lỗi không cần thiết để thay đổi thông báo khách hàng. Do đó, điều quan trọng là xác định phạm vi "bình thường" truy cập này trước khi thực hiện các hotfix.  Thiết lập trên nhiều hàng đợi thông báo thay đổi, xem xét giám sát truy cập DS thông báo kích thước hàng đợi trên tất cả bộ điều khiển miền trong khu rừng để xác định giá trị cao nhất.

Xem xét một bộ đệm tối thiểu 25% trên giá trị đỉnh kinh nghiệm khi giám sát truy cập này để xác định một giá trị phù hợp với thông báo LDAP đồng thời tối đa.

Lưu ý Sửa chữa cho vấn đề này được bao gồm trong Cập Nhật bảo mật 3160352.

Vấn đề 2 Renames tham gia miền Microsoft SQL Server thuộc tính thất bại với lỗi "Dịch vụ thư mục đang bận".

Sự cố này xảy ra khi các điều kiện sau là đúng:

• Microsoft SQL Server được cài đặt trên máy tính chạy Windows nối với miền Active Directory.

• Dịch vụ chính tên (SPN) đã được đăng ký của Microsoft SQL Server hoặc Microsoft SQL Express chứa các ký tự không phải là số sau phần ":" dấu tách thuộc tính SPN tài khoản máy tính được đổi tên.

• Máy tính lưu trữ Microsoft SQL Server được đổi tên trong Pa-nen điều khiển.

• Bộ kiểm soát miền Windows Server 2012 R2 dịch vụ thao tác đổi tên.

Tương tự, thêm một tên máy tính khác cũng sẽ thất bại. Và lệnh NetDom thêm tên máy tính không có sau một màn hình lỗi:

Để biết thêm thông tin về sự cố này, hãy xem Cập Nhật 3152220.


Issue 3

Cố gắng đăng nhập duy nhất trên các trang web được tính là hai cố gắng đăng nhập trong Active Directory. Do đó, tính sai mật khẩu tăng hai thay vì một.



Vấn đề 4 Vi phạm truy nhập LSASS xuất hiện cùng với lỗi "0xc0000005" trên Windows Server 2012 R2 DC nhắm mục tiêu của Azure AD kết nối danh tính đồng bộ hoá máy khách chạy "Nhập đầy đủ".

Khi người dùng chạy "Nhập đầy đủ" Azure AD kết nối đồng bộ hoá danh tính khách hàng dựa trên Windows Server 2012 R2 DC, vi phạm truy cập xảy ra quá trình LSASS và DC khởi động lại với mã lỗi "0xc0000005". Sự cố này xảy ra khi hoạt động thư mục thùng rác bị vô hiệu hoá.

Để biết thêm thông tin về sự cố này, hãy xem Cập Nhật 3145339.



Vấn đề 5

Lsass.exe treo trên DC với sự vi phạm truy nhập khi người dùng chạy truy vấn giao thức truy cập thư mục nhẹ (LDAP) đệ quy đối với một nhóm Active Directory có nhiều nhóm lồng nhau.  Ví dụ về truy vấn có thể kích hoạt các loại sự cố là như sau:

ldifde -f t.txt -d "dc =contoso, dc = com" - r "(memberof:memberID: = cn =cn, cn =cn, dc =contoso, dc = com)"

Cách nhận bản cập nhật này

Quan trọng Nếu bạn cài đặt gói ngôn ngữ sau khi cài đặt bản cập nhật này, bạn phải cài đặt lại bản cập nhật này. Do đó, chúng tôi khuyến nghị bạn cài đặt bất kỳ ngôn ngữ gói mà bạn cần trước khi bạn cài đặt bản cập nhật này. Để biết thêm thông tin, hãy xem Thêm gói ngôn ngữ vào Windows

Cập nhật thông tin chi tiết

Trạng thái

Microsoft đã xác nhận rằng đây là sự cố trong sản phẩm của Microsoft được liệt kê trong phần "Áp dụng cho".

Tham khảo

Tìm hiểu thêm về thuật ngữ Microsoft sử dụng để mô tả các bản cập nhật phần mềm.

Thông tin về tệp

Phiên bản tiếng Anh (Mỹ) của bản cập nhật phần mềm này cài đặt tệp có các thuộc tính được liệt kê trong bảng sau.

Lưu ý Thuộc tính tệp của Windows Server 2012 xem 3160352 Cập Nhật bảo mật.