症狀
您可能會遇到下列一或多個徵狀。 這些症狀可能是間歇性的，也可能是持續性的。 這些徵兆在「高使用率」時段更可能且更廣泛，例如在工作日開始時，環境中伺服器上的用戶端負載增加。
在 Web 服務案例中，您可能會遇到下列問題：
- Web 用戶端會收到來自 Web 伺服器的延遲回應。
- 即使輸入正確的認證，Web 用戶端仍會重複提示您輸入認證。
在 Web Proxy 案例中，您可能會遇到下列問題：
- Web 用戶端會收到來自 Web 伺服器的延遲回應。
- 即使輸入正確的認證，Web 用戶端仍會重複提示您輸入認證。
在 Exchange 用戶端案例中，您可能會遇到下列問題：
- 用戶端會從伺服器收到延遲的回應。
- 即使輸入正確的認證，系統仍會重複提示用戶端輸入認證。
在將 NTLM 驗證用於應用程式的任何案例中，您可能會遇到下列問題：
使用 NTLM 驗證的企業營運或自訂應用程式失敗。 此外，您可能會收到間歇性的不同錯誤，包括「拒絕存取」。在遠端檔案存取案例中，您可能會遇到下列問題：
Windows 用戶端收到來自檔案伺服器的「拒絕存取」錯誤或延遲回應。在中介層服務中使用 Kerberos 委派的任何案例中，您可能會遇到下列問題：
用戶端一開始會成功取得存取權，但之後卻失去相同資源的存取權。 此外，系統可能會重複提示您輸入認證或遇到「拒絕存取」錯誤。注釋
如果下列一或多個條件成立，就更有可能發生此問題：
環境中有高度交易化且大量使用的服務。
大量使用使用 WINNT 提供者的指令碼。
有些應用程式和服務 (設定或無法設定) 使用 Kerberos 驗證。
當下列三個條件同時成立時：
- 有許多「帳戶」網域，換句話說， (環境中) 具有使用者帳戶的網域。
- 有Windows Server 2003 型網域控制站 () 。
- 有些應用程式或服務可以在不提供網域名稱的情況下進行身份驗證。 例如，有些應用程式或服務提供 <null>\username 而不是網域名稱\使用者名稱。
下列徵兆表示環境中發生此問題：
Kerberos 來源事件記錄在應用程式伺服器的系統日誌中。 此事件指出 Kerberos PAC 驗證失敗。 該事件類似於以下內容：
Netlogon 服務偵錯記錄中的文字 (Netlogon.log) 符合文字「NlpUserValidateHigher： 無法分配用戶端 API 插槽」。這些項目可能會出現在下列伺服器的任何 Netlogon 偵錯記錄檔中：
- 應用程式伺服器
- 應用程式伺服器網域中的網域控制站
- 信任網域控制站
在問題發生期間，針對信號量逾時的 Netlogon 效能計數器執行效能記錄顯示大於零的數字。 在此案例中，此計數器值可能會出現在下列任何伺服器上：
- 應用程式伺服器
- 應用程式伺服器網域中的網域控制站
- 信任網域控制站
原因
當 Windows 伺服器上發生大量 NTLM 驗證或 Kerberos PAC 驗證交易 (或兩者) ，且該磁碟區大於成員伺服器或提供驗證的網域控制站一次可處理的磁碟區時，便會發生此問題。 換句話說，這是由驗證資源瓶頸所造成。
NTLM 驗證和 PAC 驗證是由 Windows 電腦上 Lsass.exe 程序中的專用執行緒執行。 這些執行緒有最大數目可供同時處理這些要求，如果要求超過執行緒的可用性，且要求無法再等待，則會發生此問題。
根據預設，工作站有一個執行緒可供使用，而成員伺服器有兩個執行緒可供使用。 網域控制站對受信任網域的每個安全性通道有一個可用執行緒。 專用於此目的的執行緒數目上限稱為 “Maxconcurrentapi”，而且是可設定的。
解決方式
若要解決問題，請使用下列一或多個方法：
- 安裝下列 Hotfix，然後依照「登錄資訊」一節中所述的步驟執行。 在 Windows Vista、Windows Server 2008、Windows 7 或 Windows Server 2008 R2 上安裝此 Hotfix 之後，用戶端電腦與另一部伺服器或網域控制站之間進行 NTLM 驗證或 PAC 驗證的同時連線上限可變更為 150。 這應該在效能記錄檔中顯示 Perfmon Netlogon「訊號量逾時」指示，或在 Netlogon 偵錯記錄檔中有「NlpUserValidateHigher： Can't allocate Client API slot」文字的所有伺服器上執行。
- 對於使用 NTLM 的應用程式和服務，只需將其設定為改為使用 Kerberos 驗證即可。 執行此動作的方法對於這些應用程式而言是唯一的。
注意：若要決定要在環境中為 MaxConcurrentApi 設定設定的值，請參閱下面的知識庫文章。
2688798 如何使用 MaxConcurrentApi 設定，為 NTLM 驗證進行效能微調
Hotfix 資訊
Microsoft 提供支援的 Hotfix。 不過，此 Hotfix 僅用來修正本文所述的問題。 僅將此 Hotfix 套用至發生本文所述問題的系統。 此 Hotfix 可能會收到其他測試。 因此，若您未受到此問題的嚴重影響，建議您等待下一個包含此 Hotfix 的軟體更新。
如果 Hotfix 可供下載，本知識庫文章頂端有「可供 Hotfix 下載」章節。 如果未顯示此章節，請連絡「Microsoft 客戶服務及支援人員」以取得 Hotfix。
注意： 如果發生其他問題或需要進行任何疑難排解，您可能需要建立另外一個服務要求。 一般的支援費用將適用於不符合此特定 Hotfix 資格的其他支援問題和問題。 如需 Microsoft 客戶服務及支援服務的完整電話號碼清單，或建立個別的服務要求，請造訪下列 Microsoft 網站：
http://support.microsoft.com/contactus/?ws=support 注意：「Hotfix 下載可用」表單顯示 Hotfix 可用的語言。 如果您找不到您的語言，是因為該語言沒有 Hotfix。
先決條件
若要套用此 Hotfix，您的電腦必須執行 Windows 7、Windows Server 2008 R2、Windows Vista Service Pack 2 或 Windows Server 2008 Service Pack 2。
登錄資訊
重要：本章節、方法或工作包含修改登錄的步驟。 不過，如果您修改登錄的方法不正確，可能會發生嚴重的問題。 因此，請務必謹慎遵循這些步驟。 您也可以在修改前先備份登錄，以增強保護效果。 如此一來，您就可以在發生問題時還原登錄。 如需有關如何備份和還原登錄的詳細資訊，請按一下下列文章編號，檢視「Microsoft 知識庫」中的文章：
322756 如何在 Windows 中備份及還原登錄安裝 Hotfix 之後，請在效能記錄檔中有 Perfmon Netlogon「號誌逾時」指示，或 Netlogon 偵錯記錄檔中有「NlpUserValidateHigher： 無法配置用戶端 API 插槽」文字的所有伺服器上，將 Maxconcurrentapi 值增加到較大的數字。 若要這麼做，請按照下列步驟進行：
啟動 [登錄編輯程式]。
找出下列登錄子機碼：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters建立下列登錄項目：
名稱： MaxConcurrentApi
類型： REG_DWORD
值：將值設定為較大的數字，您測試 (任何大於預設值) 的數字。在命令提示字元中，執行 net stop netlogon，然後執行 net start netlogon。
記事
可設定的最大值取決於作業系統版本以及 Hotfix 是否可供使用。
- 在 Windows Server 2003 中，可設定的最大值為 10。
- 在沒有本文) Hotfix 的 Windows Server 2008 (中，可設定上限為 10。 使用修補程式時，上限為 150。
- 在沒有本文) Hotfix 的 Windows Server 2008 R2 (中，可設定的設定上限為 10。 使用修補程式時，上限為 150。
如果您決定將 MaxConcurrentApivalue 增加到大於 10，則在非生產環境中實作之前，應先在非生產環境中測試所需設定的負載和效能。 建議這樣做，以確保增加此值不會造成其他資源瓶頸。
重新啟動需求
套用此 Hotfix 之後，您必須重新啟動電腦。
Hotfix 取代資訊
此 Hotfix 不會取代先前發行的 Hotfix。
檔案詳細資訊
此 Hotfix 的英文 (美國) 版會安裝具有下表中所列屬性的檔案。 這些檔案的日期與時間是以國際標準時間 (UTC) 表示。 本機電腦上這些檔案的日期與時間，是以您當地的時間和目前的日光節約時間 (DST) 的時差來顯示。 此外，當您對檔案執行特定作業時，其日期與時間可能會改變。
- 為每個環境安裝的 MANIFEST 檔案 (.manifest) 和 MUM 檔案 (.mum) 分別列在「Windows Vista 和 Windows Server 2008 的其他檔案資訊」一節中。 對於維持已更新元件的狀態，MUM 及 MANIFEST 檔案及相關的安全性目錄 (.cat) 檔案都非常重要。 屬性未列出的安全性目錄檔案是以 Microsoft 數位簽章簽署。
Windows Vista 和 Windows Server 2008 的檔案資訊
Windows Server 2008 和 Windows Vista x86 版本的檔案資訊
| 檔案名稱 | 檔案版本 | 檔案大小 | 日期 | 時間 | 平台 |
|---|---|---|---|---|---|
| Netlogon.dll | 6.0.6002.22289 | 592,896 | 2009 年 12 月 16 日 | 12:09 | x86 |
| Nlsvc.mof | 不適用 | 2,873 | 2009 年 4 月 3 日 | 21:24 | 不適用 |
Windows Server 2008 和 Windows Vista x64 版本的檔案資訊
| 檔案名稱 | 檔案版本 | 檔案大小 | 日期 | 時間 | 平台 |
|---|---|---|---|---|---|
| Netlogon.dll | 6.0.6002.22289 | 716,800 | 2009 年 12 月 16 日 | 1,207 | x64 |
| Nlsvc.mof | 不適用 | 2,873 | 2009 年 4 月 3 日 | 20:58 | 不適用 |
Windows Server 2008 IA-64 版本的檔案資訊
| 檔案名稱 | 檔案版本 | 檔案大小 | 日期 | 時間 | 平台 |
|---|---|---|---|---|---|
| Netlogon.dll | 6.0.6002.22289 | 1,216,512 | 2009 年 12 月 16 日 | 1,205 | IA-64 |
| Nlsvc.mof | 不適用 | 2,873 | 2009 年 4 月 3 日 | 20:59 | 不適用 |
Windows 7 和 Windows Server 2008 R2 的檔案資訊
Windows 7 和 Windows Server 2008 R2 檔案資訊注意事項
重要 Windows 7 hotfixes 和 Windows Server 2008 R2 的 hotfixes 隨附於相同的套件中。 但是，Hotfix 要求頁面上的 Hotfix 會列在各自的作業系統中。 如果要請求適用於其中一或兩個作業系統的 Hotfix 套件，請選取頁面上列於「Windows 7/Windows Server 2008 R2」下方的 Hotfix。 一律參閱文章中的 [套用至] 一節，以判斷每個 Hotfix 套用的實際作業系統。
- 每一個環境安裝的 MANIFEST 檔（.manifest）和MUM 檔（.mum）皆會分別列在「Windows Server 2008 R2 和Windows 7 的其他檔案資訊」一節中。 對於維持已更新元件的狀態，MUM 及 MANIFEST 檔案及相關的安全性目錄 (.cat) 檔案都非常重要。 屬性未列出的安全性目錄檔案是以 Microsoft 數位簽章簽署。
適用於所有支援的 x86 版本 Windows 7
| 檔案名稱 | 檔案版本 | 檔案大小 | 日期 | 時間 | 平台 |
|---|---|---|---|---|---|
| Netlogon.dll | 6.1.7600.20576 | 563,712 | 2009 年 11 月 16 日 | 06:40 | x86 |
| Nlsvc.mof | 不適用 | 2,873 | 2009 年 6 月 10 日 | 21:29 | 不適用 |
对于所有受支持的基于 x64 的 Windows 7 版本和 Windows Server 2008 R2 版本
| 檔案名稱 | 檔案版本 | 檔案大小 | 日期 | 時間 | 平台 |
|---|---|---|---|---|---|
| Netlogon.dll | 6.1.7600.20576 | 692,736 | 2009 年 11 月 16 日 | 07:45 | x64 |
| Nlsvc.mof | 不適用 | 2,873 | 2009 年 6 月 10 日 | 20:47 | 不適用 |
適用於所有支援的 IA-64 版本 Windows Server 2008 R2
| 檔案名稱 | 檔案版本 | 檔案大小 | 日期 | 時間 | 平台 |
|---|---|---|---|---|---|
| Netlogon.dll | 6.1.7600.20576 | 1,148,416 | 2009 年 11 月 16 日 | 06:10 | IA-64 |
| Nlsvc.mof | 不適用 | 2,873 | 2009 年 6 月 10 日 | 20:52 | 不適用 |
狀態
Microsoft 已確認這是「適用對象」一節中列出的 Microsoft 產品中的問題。
更多資訊
此 Hotfix 包含在 Windows 7 Service Pack 1 (SP1) 和 Windows Server 2008 R2 Service Pack 1 (SP1) 中。
MaxConcurrentApi 設定及其預設設定是 Windows 2000 和當時有限硬體功能的遺留技術。 對於較舊的硬體，允許額外的執行緒及其產生的 RPC 流量是一個嚴重的問題，如果建立太多執行緒，則可能會出現效能瓶頸。 使用較新的硬體平台和改進的效能，發生硬體效能限制的可能性較小。 一如既往，在使用高 MaxConcurrentApi 設定增加潛在負載之前，請務必測量及瞭解環境中伺服器的效能。
如需有關如何使用 Netlogon 服務偵錯記錄 (Netlogon.log) 的詳細資訊，請按一下下面的文件編號，檢視「Microsoft知識庫」中的文件：
109626 啟用 Net Logon 服務的偵錯記錄功能 Windows Server 2003 網域控制站的 Netlogon 服務偵錯記錄檔中有項目指出用戶端提交<的是 null>\username 而不是網域名稱\username，因此可以執行其他遞減步驟。 下列「Microsoft 知識庫」文章說明這些步驟：
923241 如果您在 Windows Server 2003 網域控制站上有許多外部信任，Lsass.exe 處理程序可能會停止回應，因此可以在 Windows Server 2003 中使用 Netlogon 效能監視物件，以及新增該效能物件的更新。 Windows Server 2003 有更新可讓您監視 NTLM 驗證的速度和輸送量。 如需詳細資訊，請按一下下面的文章編號，檢視「Microsoft 知識庫」中的文章：
928576 Windows Server 2003 的新效能計數器可讓您監視 Netlogon 驗證的效能
Windows Server 2008 R2 有一個更新，引進了新的事件來追蹤 Netlogoan API 多載：
在 Windows Server 2008 R2 中，追蹤 NTLM 驗證延遲和失敗的新事件記錄項目可供使用
http://support.microsoft.com/default.aspx?scid=kb;EN-US;2654097
如需有關軟體更新術語的詳細資訊，請按一下下面的文章編號，檢視「Microsoft 知識庫」中的文章：
824684
描述 Microsoft 軟體更新所使用的標準術語說明
其他檔案資訊
有關 Windows Vista 和 Windows Server 2008 的其他檔案資訊
Windows Vista 和 Windows Server 2008 x86 型版本的其他檔案資訊
| 檔案名稱 | Update.mum |
|---|---|
| 檔案版本 | 不適用 |
| 檔案大小 | 3,068 |
| 日期 (UTC) | 2009 年 12 月 16 日 |
| UTC) (時間 | 21:16 |
| 平台 | 不適用 |
| 檔案名稱 | X86_d097c3e62c5fe28649de747cfa96d8cc_31bf3856ad364e35_6.0.6002.22289_none_8f4d35d9370e9c53.manifest |
| 檔案版本 | 不適用 |
| 檔案大小 | 705 |
| 日期 (UTC) | 2009 年 12 月 16 日 |
| UTC) (時間 | 21:16 |
| 平台 | 不適用 |
| 檔案名稱 | X86_microsoft-windows-security-netlogon_31bf3856ad364e35_6.0.6002.22289_none_ffda50c84e769578.manifest |
| 檔案版本 | 不適用 |
| 檔案大小 | 22,701 |
| 日期 (UTC) | 2009 年 12 月 16 日 |
| UTC) (時間 | 14:05 |
| 平台 | 不適用 |
Windows Server 2008 和 Windows Vista x64 版本的其他檔案資訊
| 檔案名稱 | Amd64_0fe0181b07108c9de21c48d7ff24c52a_31bf3856ad364e35_6.0.6002.22289_none_f87d1e5f85e49530.manifest |
|---|---|
| 檔案版本 | 不適用 |
| 檔案大小 | 1,060 |
| 日期 (UTC) | 2009 年 12 月 16 日 |
| UTC) (時間 | 21:16 |
| 平台 | 不適用 |
| 檔案名稱 | Amd64_microsoft-windows-security-netlogon_31bf3856ad364e35_6.0.6002.22289_none_5bf8ec4c06d406ae.manifest |
| 檔案版本 | 不適用 |
| 檔案大小 | 23,180 |
| 日期 (UTC) | 2009 年 12 月 16 日 |
| UTC) (時間 | 15:52 |
| 平台 | 不適用 |
| 檔案名稱 | Update.mum |
| 檔案版本 | 不適用 |
| 檔案大小 | 3,092 |
| 日期 (UTC) | 2009 年 12 月 16 日 |
| UTC) (時間 | 21:16 |
| 平台 | 不適用 |
| 檔案名稱 | Wow64_microsoft-windows-security-netlogon_31bf3856ad364e35_6.0.6002.22289_none_664d969e3b34c8a9.manifest |
| 檔案版本 | 不適用 |
| 檔案大小 | 18,332 |
| 日期 (UTC) | 2009 年 12 月 16 日 |
| UTC) (時間 | 14:00 |
| 平台 | 不適用 |
有關 IA-64 型版本 Windows Server 2008 的其他檔案資訊
| 檔案名稱 | Ia64_93a1c37632c96e8463a7fa3608662f92_31bf3856ad364e35_6.0.6002.22289_none_f505daf555102feb.manifest |
|---|---|
| 檔案版本 | 不適用 |
| 檔案大小 | 1,058 |
| 日期 (UTC) | 2009 年 12 月 16 日 |
| UTC) (時間 | 21:16 |
| 平台 | 不適用 |
| 檔案名稱 | Ia64_microsoft-windows-security-netlogon_31bf3856ad364e35_6.0.6002.22289_none_ffdbf4be4e749e74.manifest |
| 檔案版本 | 不適用 |
| 檔案大小 | 23,156 |
| 日期 (UTC) | 2009 年 12 月 16 日 |
| UTC) (時間 | 16:08 |
| 平台 | 不適用 |
| 檔案名稱 | Update.mum |
| 檔案版本 | 不適用 |
| 檔案大小 | 2,247 |
| 日期 (UTC) | 2009 年 12 月 16 日 |
| UTC) (時間 | 21:16 |
| 平台 | 不適用 |
| 檔案名稱 | Wow64_microsoft-windows-security-netlogon_31bf3856ad364e35_6.0.6002.22289_none_664d969e3b34c8a9.manifest |
| 檔案版本 | 不適用 |
| 檔案大小 | 18,332 |
| 日期 (UTC) | 2009 年 12 月 16 日 |
| UTC) (時間 | 14:00 |
| 平台 | 不適用 |
有關 Windows 7 和 Windows Server 2008 R2 的其他檔案資訊
所有支援的 x86 版本 Windows 7 的其他檔案
| 檔案名稱 | 檔案版本 | 檔案大小 | 日期 | 時間 | 平台 |
|---|---|---|---|---|---|
| Package_for_kb975363_rtm~31bf3856ad364e35~x86~~6.1.1.0.mum | 不適用 | 1,947 | 2009 年 11 月 16 日 | 09:45 | 不適用 |
| X86_microsoft-windows-security-netlogon_31bf3856ad364e35_6.1.7600.20576_none_fe237c4db262181f.manifest | 不適用 | 35,541 | 2009 年 11 月 16 日 | 08:08 | 不適用 |
所有支援的 Windows 7 和 Windows Server 2008 R2 x64 版本的其他檔案
| 檔案名稱 | 檔案版本 | 檔案大小 | 日期 | 時間 | 平台 |
|---|---|---|---|---|---|
| Amd64_microsoft-windows-security-netlogon_31bf3856ad364e35_6.1.7600.20576_none_5a4217d16abf8955.manifest | 不適用 | 35,547 | 2009 年 11 月 16 日 | 11:08 | 不適用 |
| Package_for_kb975363_rtm~31bf3856ad364e35~amd64~~6.1.1.0.mum | 不適用 | 2,181 | 2009 年 11 月 16 日 | 09:45 | 不適用 |
| Wow64_microsoft-windows-security-netlogon_31bf3856ad364e35_6.1.7600.20576_none_6496c2239f204b50.manifest | 不適用 | 16,596 | 2009 年 11 月 16 日 | 08:01 | 不適用 |
所有支援的 Windows Server 2008 R2 IA-64 版本的其他檔案
| 檔案名稱 | 檔案版本 | 檔案大小 | 日期 | 時間 | 平台 |
|---|---|---|---|---|---|
| Ia64_microsoft-windows-security-netlogon_31bf3856ad364e35_6.1.7600.20576_none_fe252043b260211b.manifest | 不適用 | 35,544 | 2009 年 11 月 16 日 | 06:09 | 不適用 |
| Package_for_kb975363_rtm~31bf3856ad364e35~ia64~~6.1.1.0.mum | 不適用 | 1,683 | 2009 年 11 月 16 日 | 09:45 | 不適用 |
| Wow64_microsoft-windows-security-netlogon_31bf3856ad364e35_6.1.7600.20576_none_6496c2239f204b50.manifest | 不適用 | 16,596 | 2009 年 11 月 16 日 | 08:01 | 不適用 |