Удаление контроллера домена из Active Directory

706

В этом руководстве я рассмотрю два варианта удаления контроллера домена. Если у вас все еще есть доступ к серверу, то вариант 1 является предпочтительным выбором.

• Вариант 1. Понизьте роль контроллера домена с помощью диспетчера серверов .
  Используйте этот вариант, если у вас все еще есть доступ к серверу.
• Вариант 2. Удаление контроллера домена вручную
  Используйте эту опцию, если сервер мертв или у вас больше нет к нему доступа.

В обоих примерах я буду использовать сервер Windows Server 2022, но эти шаги будут работать для Server 2012,2016, и выше.

Совет №1 . Начиная с Server 2008, метаданные контроллера домена очищаются автоматически. Сервер Windows Server 2003 или более ранней версии потребует использования команды ntdsutil для очистки метаданных. При этом вам все равно нужно вручную удалить сервер с сайтов и служб.

Совет № 2 Перед выключением сервера убедитесь, что на сервере не запущены другие службы (например, DNS или DHCP). Если вы можете избежать этого, вы можете избавить себя от большой головной боли.

Совет № 3. Если на удаляемом контроллере домена настроены роли FSMO, они будут автоматически перенесены на другой контроллер домена . Вы можете проверить это с помощью команды в CMD netdom query FSMO.

Вариант 1. Понизьте роль контроллера домена с помощью диспетчера серверов.

Это рекомендуемый Microsoft метод удаления контроллера домена.

Шаг 1. Откройте диспетчер серверов

Шаг 2. Выберите «Удаленные роли и функции» .

Нажмите «Далее» на странице «Перед началом»

Шаг 3 . На странице выбора сервера выберите сервер, который хотите понизить, и нажмите кнопку «Далее».

В этом примере я понижаю уровень сервера «DC2.adlukashin.loc».

Шаг 4 . Снимите флажок «Доменные службы Active Directory» на странице «Роли сервера».

Когда вы снимите флажок, вы получите всплывающее окно для удаления функций, требующих доменных служб Active Directory.

Шаг 5 . Выберите Понизить уровень этого контроллера домена. (Demote this domain controller)

На следующем экране убедитесь, что вы НЕ выбираете «Принудительное удаление этого контроллера домена». (Force the removal of this domain controller)
Этот параметр следует выбрать, только если контроллер домена не может установить связь с другими контроллерами домена и нет другого способа разрешить эту сетевую проблему. Принудительное понижение уровня оставляет потерянные метаданные в Active Directory на оставшихся контроллерах домена леса. Помимо этого, все нереплицированные изменения на этом контроллере домена, например пароли и новые учетные записи пользователей, навсегда теряются.

Вы также можете изменить учетные данные на этом экране, если это необходимо.

Нажмите кнопку «Next

Шаг 6 . На экране предупреждений появится предупреждение, что на этом сервере размещены дополнительные роли. Если у вас есть клиентские компьютеры, использующие этот сервер для DNS, вам потребуется обновить их, чтобы они указывали на другой сервер, поскольку роль DNS будет удалена.

Установите флажок « Proceed with removal» и нажмите «Далее».

Шаг 7 . Если у вас есть делегирование DNS, вы можете выбрать «Удалить делегирование DNS и нажать «Далее». В большинстве случаев у вас не будет делегирования DNS, и вы можете снять этот флажок.
Шаг 8 . Теперь введите новый пароль администратора. Это будет для учетной записи локального администратора на этом сервере.

Шаг 9. Просмотрите параметры и нажмите «Понизить» .

При нажатии на понижение сервер будет понижен и перезагружен. После перезагрузки сервер станет рядовым сервером. Вы можете войти на сервер с учетными данными домена.

Также оснастка может выдать ошибку. Тут получается два варианта.
1)Либо мы устраняем проблему и идем по шагам и корректно удаляем.
2)Либо в шаге 5 мы выбираем Force the removal of this domain controller

Если посмотреть на соседнем контроллере домена , то видно что контроллера DC2 уже нет в списке.

Дополнительные шаги очистки

По какой-то причине Microsoft решила не включать сайты и сервисы в процесс очистки. Возможно, он остался там на случай, если вы захотите снова повысить роль сервера до контроллера домена. Если вы не собираетесь повышать уровень сервера до контроллера домена, выполните следующие действия.

1. Откройте сайты и службы Active Directory и удалите сервер.

Вы можете видеть выше, что сервер, который я только что понизил, все еще указан в списках сайтов и служб. Я просто щелкну по нему правой кнопкой мыши и удалю.

Вот и все для варианта 1. Вы можете зайти в папку «Контроллеры домена» и убедиться, что сервер удален. Также рекомендуется запустить dcdiag после удаления контроллера домена, чтобы убедиться, что в вашей среде нет серьезных ошибок.

Вам также может потребоваться просмотреть и протестировать репликацию. Вы можете использовать команду repadmin для проверки наличия проблем с репликацией.

Вариант 2.Удаление контроллера домена вручную

Используйте эту опцию, если сервер мертв, отключен или вы просто не можете получить к нему доступ. На самом деле всего 1 шаг.

Шаг 1 . На другом контроллере домена или компьютере с инструментами RSAT откройте «Active Directory — пользователи и компьютеры».

Перейдите в папку «Контроллеры домена». Щелкните правой кнопкой мыши контроллер домена, который вы хотите удалить, и нажмите «Удалить».

На следующем экране установите флажок «Все равно удалить этот контроллер домена» и нажмите «Удалить».

Если контроллер домена является сервером глобального каталога, вы получите дополнительное сообщение для подтверждения удаления. Я нажму Да.

Вот и все.

Последним шагом будет удаление сервера из Сайтов и служб, как я показал вам в варианте 1.

Как я упоминал в начале этой статьи, начиная с сервера 2008, очистка метаданных выполняется автоматически в обоих вариантах. Большинство практических руководств скажут вам открыть командную строку и запустить ntdsutil для очистки метаданных. В этом нет необходимости, если ваша серверная операционная система 2008 или выше.

Кажется, проще вручную удалить контроллер домена, чем использовать мастер диспетчера серверов. Технически я не уверен, в чем разница, но Microsoft рекомендует использовать мастер удаления, если вы можете. Используйте ручной метод в качестве последнего варианта.

Резюме

В этом руководстве я показал вам два метода удаления контроллера домена. Microsoft сделала этот процесс очень простым, автоматически очищая метаданные, начиная с сервера 2008. Поскольку сети и системы постоянно меняются, может наступить время, когда вам нужно удалить контроллер домена.