Monitorování maximálního souběžného počtu rozhraní API systému Windows Server 2008

Souhrn

Dochází-li u zákazníků k výpadkům služeb Ověřování systému Windows, Exchange, SharePoint + LOB z důvodu nízké výchozí hodnoty pro MaxConcurrentAPI, která je stropem pro maximální hodnotu NTLM nebo ověření hesla Kerberos PAC, které může server kdykoliv zpracovat.

Zvažte níže uvedený scénář:

• Máte jednu nebo více doménových struktur s několika doménami.

• V různých doménách existují kombinace uživatelů a prostředků (jako například aplikace či proxy servery).

• Od vzdálených uživatelů domény přichází do serveru prostředků se systémem Windows server 2008 R2 množství požadavků na přihlášení NTLM.

V tomto scénáři vyprší časový limit požadavků NTLM. Dojde-li k tomuto problému, nelze například ověřit klienty systému Exchange v serveru Exchange. Z tohoto důvodu nemohou uživatelé přistupovat ke svým poštovním schránkám a zdá se, že aplikace Microsoft Outlook přestala reagovat.

Příčiny

K tomuto problému dochází proto, že byl dosažen limit omezení rozhraní NTLM API.

Rozšíření zařízení generujících zatížení související s ověřováním vede k tomu, že ve velkých organizacích dochází k rostoucímu trendu výpadků.

Úspory plynoucí z velkého rozsahu získané prostřednictvím cloudu zdůrazňují infrastrukturu Windows, která podporuje naši službu Active Directory.

Služby BPOS a O365 tuto hodnotu již zvýšily na 10 a 150, resp. nástroj Registry Fix byl široce nasazen prostřednictvím minulých případových zásahů zákaznické podpory.

Řešení

• Zvyšte hodnotu registru MaxConcurrentApi v serveru či serverech, v nichž dochází k tomuto problému. Chcete-li změnit nastavení MaxConcurrentApi, postupujte takto:

  • 1. Klikněte na tlačítko Start, klikněte na možnost Spustit, zadejte příkaz regedit a poté klikněte na tlačítko OK.

    2. Vyhledejte níže uvedený podklíč registru a klikněte na něj:

    3. HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters

    4. V nabídce Úpravy ukažte na možnost Nový a poté klikněte na hodnotu DWORD.

    5. Zadejte MaxConcurrentApi a stiskněte Enter.

    6. V nabídce Úpravy klikněte na možnost Změnit.

    7. Zadejte nové nastavení hodnoty MaxConcurrentApi v desítkové soustavě a klikněte na tlačítko OK.

    8. V příkazovém řádku zadejte níže uvedený příkaz a stiskněte klávesu Enter:

    9. net stop netlogon

    10. Zadejte následující příkaz a stiskněte Enter:

    11. net start netlogon

  • Ověřte, že síť mezi severem a příslušnými řadiči domén (nebo důvěryhodnými řadiči domén, jestliže jste tento stav zaregistrovali v určitém řadiči domény) nedochází k žádné latenci. Latence sítě může způsobovat nebo podporovat tyto potíže.

  • Aplikace a služby používající protokol NTLM jednoduše konfigurujte tak, aby místo tohoto protokolu používaly ověřování Kerberos. Postupy této konfigurace se liší podle příslušných aplikací.

  • Jestliže se jako symptom jeví ověřování Kerberos PAC, zakažte ověřování Kerberos PAC, pokud to daná služba umožňuje. To byste měli provést v serveru, v němž se objevuje událost 7 zdrojového systému Kerberos.

Poznámka: Ověřování Kerberos PAC nelze zakázat u fondů aplikací ISS a u některých služeb souvisejících se systémem Exchange.

Poznámka: Na základě níže uvedeného článku znalostní báze stanovte hodnotu, kterou zadáte jako hodnotu MaxConcurrentApi ve vašem prostředí.

Knowledge Base Article: 2688798

Doplňující

Postup ladění výkonu ověřování NTLM pomocí nastavení MaxConcurrentApi.

Další informace

Další informace k těmto potížím najdete v níže uvedeném článku TechNet. Konfigurace hodnoty MaxConcurrentAPI předávacího ověřování NTLM.