2017 年 9 月 28 日 — KB4038801（OS 内部版本 14393.1737）

改进和修补程序

此更新包含质量改进。 此更新中未引入任何新的操作系统功能。 关键更改包括：

• 更新了 BitLocker.psm1 PowerShell 脚本，以便在启用日志记录时不记录密码。
• 解决了智能卡的“锁定工作站”设置的问题，在某些情况下，删除智能卡时系统不会锁定。
• 解决了将密码为空的凭据保存到凭据管理器会导致系统在尝试使用该凭据时停止工作的问题。
• 解决了从 WMI 查询中错误地关闭访问令牌的问题。
• 解决了 ReFS 未正确计算克隆文件的大小的问题。
• 解决了 Npfs！NpFsdDirectoryControl 中的“停止0x44”错误。
• 解决了错误0x1_SysCallNum_71_nt！KiSystemServiceExitPico。
• 解决了每次托管服务帐户 (MSA) 自动续订其密码时计算机无法访问其域的问题。 此修复无需在使用 0xc000022 记录 NETLOGON 事件 3210 后重启 OS 或 NETLOGON 服务。
• 解决了最小化 RemoteApp 并将其还原到全屏模式时出现的 RemoteApp 显示问题。
• 解决了从远程网络驱动器访问 Office 文档时出现延迟的问题。 Files打开，但文件访问和文件保存会受到影响。 随着文件大小的增加，访问延迟会显著增加。
• 解决了防止用户登录延迟的问题。 当组策略首选项客户端扩展发送已注册的顶级窗口无法响应的 BroadcastSystemMessages 和进程时，会发生延迟。
• 解决了 Get-AuthenticodeSignature cmdlet 不列出 TimeStamperCertificate （即使文件带有时间戳）的问题。
• 解决了在 Hyper-V 主机上检查损坏的 VHDX 文件时可能发生的问题;错误为“多个 bug 检查BAD_POOL_CALLER (c2) 0000000000000007;尝试释放已释放的池”。 但是，启用特殊池时，错误为“0xCC PAGE_FAULT_IN_FREED_SPECIAL_POOL”。
• 解决了远程桌面的空闲超时警告在空闲时间过后不显示的问题。
• 解决了撤销与 CA 管理控制台中禁用的用户帐户关联的证书失败的问题。 错误为“用户名或密码不正确。 0x8007052e (WIN32：1326 ERROR_LOGON_FAILURE) ”。
• 解决了多重身份验证在使用自定义区域性定义的移动设备时无法正常工作的问题。
• •解决了在极高速磁盘上使用异步复制时群集节点停止工作的问题。
• 解决了 ksecdd.sys 导致 LSASS 泄漏分页池中的内核内存的问题。 这最常影响托管 HTTPS 服务并处理来自客户端的大量 TLS 握手负载的服务器。
• 解决了 LSASS 中针对域控制器上的大型记录集评估 LDAP 筛选器时内存使用率过高的问题。
• 解决了在安全描述符传播操作期间 LSASS 在 2012 R2 域控制器上消耗大量内存的问题。 如果对具有许多后代的根对象进行了安全描述符更改，则会出现此问题。 此外，“应用于”设置为“此对象和所有后代对象”。
• 解决了主机和 RDP 登录因 DPAPI/LSASS 和 RDR 之间的死锁而在“应用用户配置文件设置”处永久停止响应的问题。 死锁发生后，新登录将失败，直到登录计算机重新启动。
• 解决了在虚拟机上使用 PowerShell 命令执行 TPM 相关操作会导致 TPM 支持失败的问题。 例如，执行 Get-TPM 操作会产生以下错误：“get-tpm：检测到内部错误。 (HRESULT 的异常：0x80290107) 。 在行：1 char：1”。
• 添加了对使用联合 LDP 的 OIDC 注销的支持。 这将允许多个用户以串行方式登录到具有与 LDP 联合的单个设备的展台方案。
• 解决了 WinHello 的问题，即基于 CEP 和 CES 的证书不适用于 gMSA 帐户。
• 提高了发送大型数据 Blob 时的 RPC 可靠性。
• 解决了使用智能卡登录远程桌面服务器有时会导致服务器停止响应的问题。
• 解决了无法在使用统一写入筛选器Windows Server 2016 IoT 上启用“休眠一次/恢复许多” (HORM) 的问题。
• 解决了以下问题：删除 Active Directory 中具有许多链接的对象会导致复制停止，并出现事件 1084，错误 8409：“发生数据库错误”。 有关其他信息，请阅读 KB3149779。
• 解决了WINDOWS SERVER 2016域控制器 (DC) 可能会记录 ID 为 4625 和 4776 的审核事件的问题。 DC 使用Microsoft Windows 安全中心截断了来自使用 wldap32.dll 的客户端应用程序登录的用户名和域名的信息。
• 解决了在启动域控制器角色条件期间发生的 LSASS 中的访问冲突。 当数据库刷新内部元数据时发生帐户管理调用时，争用条件会导致冲突。 密码重置或更改是可能会触发此问题的管理调用之一。
• 解决了在具有 HDD 和 SSD 的存储池上创建分层虚拟磁盘时，Windows Server Essentials 存储服务停止工作的问题。
• 解决了在 Windows Server 2016 Datacenter Edition 的存储副本功能中使用磁盘管理将群集共享卷 (源磁盘) 扩展到超过 2 TB 的问题。 错误为“磁盘上没有足够的可用空间来完成此操作”。 使用 Resize-Partition PowerShell cmdlet 时，可能会出现相同的问题。 在这种情况下，错误为“可用容量不足”。
• 解决了Windows Server 2016 AD FS 服务器上的Windows 内部数据库 (WID) 由于外键约束而无法同步某些设置的问题。 这些设置包括 IdentityServerPolicy.Scopes 和 IdentityServerPolicy.Clients 表中的 ApplicationGroupId 列。 同步失败可能会导致主 AD FS 服务器和辅助 AD FS 服务器之间出现不同的声明、声明提供程序和应用程序体验。 此外，如果将 WID 主角色移动到辅助节点，则无法使用 AD FS 管理用户界面管理应用程序组。 修补后，新应用程序组将正确同步。 删除安装修补程序之前未同步的现有信赖方 (RP) ，并在安装包后重新生成它们。
• 解决当特定 MBN 适配器正在使用时，设备进入睡眠状态后在 wmbclass.sys 中发生的错误 (停止0x9f) 。

如果已安装较早的更新，那么此程序包中只有新的修补程序会下载并安装到设备上。

有关已修复的安全漏洞的更多信息，请参阅安全更新指南。

注意：这是包含Windows Server 2016改进的重新发布。 如果已安装 2017 年 9 月 25 日更新，但对服务器改进不感兴趣，则可以跳过此更新。

此更新中的已知问题

症状	解决方法
安装此更新后，使用快速安装文件下载更新可能会失败。	此问题已在 KB4041688 中得到解决。
某些将图标的文本大小设置为较大大小 (在 控制面板) 中使用显示设置的用户在启动 Internet Explorer 时可能会遇到问题。	将图标的文本大小减小到较小的值或使用 “更改所有项的大小” 设置可缓解此问题。 Microsoft 正寻求一种解决方案，并会在即将发布的版本中提供更新。

如何获取此更新

若要获取此更新的独立程序包，请转到 Microsoft 更新目录网站。

文件信息

有关此更新中提供的文件列表，请下载 累积更新4038801的文件信息。