2017 年 9 月 28 日 — KB4038801（OS 内部版本 14393.1737）

改进和修补程序

此更新包含质量改进。 此更新中未引入任何新的操作系统功能。 关键更改包括：

• 更新了 BitLocker.psm1 PowerShell 脚本，以便在启用日志记录时不记录密码。
• 解决了智能卡的“锁定工作站”设置的问题，在某些情况下，当移除智能卡时系统不会锁定卡。
• 解决了将空密码的凭据保存到凭据管理器会导致系统在尝试使用凭据时停止工作的问题。
• 解决了从 WMI 查询中正确关闭访问令牌的问题。
• 解决了 ReFS 未正确计算克隆文件大小的问题。
• 解决了 Npfs！NpFsdDirectoryControl 中的错误 STOP 0x44。
• 解决了错误 0x1_SysCallNum_71_nt！KiSystemServiceExitPico.
• 解决了每次托管服务帐户 (MSA) 自动续订其密码时计算机失去对其域的访问权限的问题。 通过此修补程序，在记录 NETLOGON 事件 3210 并显示0xc000022后，无需重启操作系统或 NETLOGON 服务。
• 解决了将 RemoteApp 最小化并还原为全屏模式时出现的 RemoteApp 显示问题。
• 解决了从远程网络驱动器访问 Office 文档时出现延迟的问题。 Files 可以打开，但文件访问和文件保存会受到影响。 访问延迟随着文件大小的增加而显著增加。
• 解决了防止用户登录延迟的问题。 当组策略首选项客户端扩展发送 BroadcastSystemMessages 和已注册的进程时，会出现延迟，顶级窗口无法响应。
• 解决了 Get-AuthenticodeSignature cmdlet 不列出 TimeStamperCertificate 的问题，即使文件带有时间戳。
• 解决了在 Hyper-V 主机上检查损坏的 VHDX 文件时可能出现的问题;错误为“多个错误检查BAD_POOL_CALLER (c2) 0000000000000007;尝试释放已释放的池“。 但是，当启用特殊池时，错误为“0xCC PAGE_FAULT_IN_FREED_SPECIAL_POOL”。
• 解决了空闲时间过后未显示远程桌面的空闲超时警告的问题。
• 解决了撤销与 CA 管理控制台中禁用的用户帐户关联的证书失败的问题。 错误为“用户名或密码不正确。 0x8007052e (WIN32：1326 ERROR_LOGON_FAILURE) “。
• 解决了 Multi-Factor Authentication 无法与使用自定义区域性定义的移动设备正常工作的问题。
• •解决了在非常高速的磁盘上使用异步复制时群集节点停止工作的问题。
• 解决了 ksecdd.sys 导致 LSASS 泄漏分页池中的内核内存的问题。 这最常影响托管 HTTPS 服务并处理来自客户端的大量 TLS 握手的服务器。
• 解决了 LSASS 在域控制器上评估大型记录集上的 LDAP 筛选器时内存使用率过高的问题。
• 解决了在安全描述符传播操作期间 LSASS 在 2012 R2 域控制器上消耗大量内存的问题。 对具有许多后代的根对象进行安全描述符更改时，会出现此问题。 此外，“适用对象”设置为“此对象和所有后代对象”。
• 解决了由于 DPAPI/LSASS 和 RDR 之间存在死锁，主机和 RDP 登录在“正在应用用户配置文件设置”时永久停止响应的问题。 一旦发生死锁，新的登录将失败，直到重新启动登录计算机。
• 解决了在虚拟机上使用 PowerShell 命令执行 TPM 相关操作导致 TPM 支持失败的问题。 例如，执行 Get-TPM 操作会生成以下错误：“get-tpm：检测到内部错误。 (HRESULT 异常：0x80290107) 。 At line：1 char：1“.
• 添加了对使用联合 LDP 注销的 OIDC 支持。 这将允许展台方案：多个用户可能会串行登录到与 LDP 联合的单个设备。
• 解决了基于 CEP 和 CES 的证书不适用于 gMSA 帐户的 WinHello 问题。
• 改进了发送大型数据 blob 时的 RPC 可靠性。
• 解决了使用智能卡登录远程桌面服务器有时会导致服务器停止响应的问题。
• 使用统一写入筛选器解决了无法在 Windows Server 2016 IoT 上启用“休眠一次/恢复多次” (HORM) 的问题。
• 解决了删除 Active Directory 中具有许多链接的对象会导致复制停止并出现事件 1084（错误 8409：“发生数据库错误”）的问题。 有关详细信息，请阅读 KB3149779。
• 解决了 DC) (Windows Server 2016域控制器可能会记录 ID 为 4625 和 4776 的审核事件的问题。 DC 使用截断用户名和域名的Microsoft Windows 安全中心信息，用于来自使用 wldap32.dll 的客户端应用程序的登录。
• 解决了在域控制器角色条件启动期间发生的 LSASS 中的访问冲突。 当数据库刷新内部元数据时发生帐户管理调用时，争用条件会导致冲突。 密码重置或更改是可能触发此问题的管理调用之一。
• 解决了在具有 HDD 和 SSD 的存储池上创建分层虚拟磁盘时 Windows Server Essentials 存储服务停止工作的问题。
• 解决了尝试使用 Windows Server 2016 Datacenter 版的“存储副本”功能 (源磁盘扩展群集共享卷超过 2 TB 的问题) 失败。 错误为“磁盘上没有足够的可用空间来完成此操作”。 使用 Resize-Partition PowerShell cmdlet 时可能会出现相同的问题。 在这种情况下，错误为“没有足够的可用容量”。
• 解决了 Windows Server 2016 AD FS 服务器上的 Windows 内部数据库 (WID) 由于外键约束而无法同步某些设置的问题。 这些设置包括 IdentityServerPolicy.Scopes 和 IdentityServerPolicy.Clients 表中的 ApplicationGroupId 列。 同步故障可能会导致主 AD FS 服务器和辅助 AD FS 服务器之间的声明、声明提供程序和应用程序体验不同。 此外，如果将 WID 主角色移动到辅助节点，则无法使用 AD FS 管理用户界面管理应用程序组。 修补后，新的应用程序组将正确同步。 在安装修补程序之前删除未同步的现有信赖方 (RP) ，并在安装包后重新生成它们。
• 解决了使用特定 MBN 适配器时设备进入睡眠状态后 (wmbclass.sys 中发生的 STOP 0x9f) 错误。

如果已安装较早的更新，那么此程序包中只有新的修补程序会下载并安装到设备上。

有关已修复的安全漏洞的更多信息，请参阅安全更新指南。

注意：这是包括 Windows Server 2016 改进在内的重新发布版本。 如果你已安装 2017 年 9 月 25 日更新，但对服务器改进不感兴趣，可以跳过此更新。

此更新中的已知问题

症状	解决方法
安装此更新后，使用快速安装文件下载更新可能会失败。	此问题已在 KB4041688 中得到解决。
某些用户 (使用 控制面板) 中的“显示设置”将图标的文本大小设置为较大，启动 Internet Explorer 时可能会遇到问题。	将图标的文本大小减小为更小的值或使用更改 所有项目的大小 设置应可缓解此问题。 Microsoft 正寻求一种解决方案，并会在即将发布的版本中提供更新。

如何获取此更新

若要获取此更新的独立程序包，请转到 Microsoft 更新目录网站。

文件信息

有关此更新中提供的文件列表，请下载 累积更新4038801的文件信息。