只读域控制器降级失败后如何删除 Active Directory 中的数据

本文介绍如何通过命令提示符和Active Directory站点服务等工具,逐步安全地移除只读域控制器(RODC)。包括使用ntdsutil进行元数据清理、在DNS中删除相关记录以及从Active Directory中移除服务器。
1、 以管理员身份运行“命令提示符”;
2、 在命令提示符处,键入ntdsutil,然后按Enter;
3、 键入metadata cleanup,然后按Enter,
4、 Connections
5、 键入 connect to server servername,其中servername可为任意一台可读写域控制,然后按 Enter。
6、 键入 quit,然后按 Enter.
7、 键入 select operation target,然后按 Enter.
8、 键入 list domains,然后按 Enter。
9、 键入 select domain number,然后按 Enter;其中 number 是与要删除RODC服务器所属域相关联的编号。
10、 键入 list sites,然后按 Enter。
11、 键入 select site number,然后按 Enter;其中 number 是与要删除的域控服务器所属站点相关联的编号。
12、 键入 select server number,其中 number 是与要删除的服务器关联的编号。将出现一条确认消息,其中列出所选的服务器、该服务器的域名服务器 (DNS) 主机名,以及要删除的服务器的计算机帐户的位置。
13、 键入 quit,然后按 Enter.
14、 键入 remove selected server,然后按 Enter。将出现一条确认消息,说明删除成功完成。
15、 在每个菜单中键入 quit,退出 Ntdsutil 实用工具。
变更操作步骤二:
1、 在 DNS 的 _msdcs.<目录林的根域> 区域中删除 cname 记录
2、 在 DNS 控制台中,使用 DNS MMC 删除 DNS 中的 A 记录。
3、 删除 _msdcs 容器中的 cname 记录。
变更操作步骤三:
使用“Active Directory 站点和服务”删除只读控制器。


本文转自wangtingdong 51CTO博客,原文链接:http://blog.51cto.com/tingdongwang/676427,如需转载请自行联系原作者
### 域控制器降级步骤及操作指南 域控制器降级是指将一个域控制器从活动目录中移除,同时确保活动目录的完整性和一致性。以下是域控制器降级的详细步骤和注意事项[^1]。 #### 1. 确保角色转移 在降级之前,必须确保所有灵活单主操作 (FSMO) 角色都已从目标域控制器转移到其他活动域控制器。可以通过以下 PowerShell 命令检查 FSMO 角色分配: ```powershell Get-ADDomain | Select-Object InfrastructureMaster, PDCEmulator, RIDMaster, DomainNamingMaster Get-ADForest | Select-Object SchemaMaster, DomainNamingMaster ``` 如果目标域控制器持有任何 FSMO 角色,则需要使用以下命令将其转移到其他域控制器: ```powershell Move-ADDirectoryServerOperationMasterRole -Identity DC2 -OperationMasterRole 0,1,2,3,4 -force ``` #### 2. 验证复制状态 确保目标域控制器与活动目录中的其他域控制器之间的复制状态正常。可以使用 `repadmin` 工具验证复制状态: ```cmd repadmin /showrepl ``` 此命令会显示域控制器的复制状态,包括最后成功复制的时间和任何潜在错误。 #### 3. 执行域控制器降级 使用 `dcpromo` 工具或 PowerShell 命令进行域控制器降级。推荐使用 PowerShell 的方式以获得更高的灵活性和自动化能力。 通过 PowerShell 降级域控制器: ```powershell Uninstall-ADDSDomainController -Identity "DCName" -Force ``` 在此命令中,`-Identity` 参数指定要降级域控制器名称,`-Force` 参数强制执行降级操作而无需用户确认。 #### 4. 清理元数据 如果域控制器无法正常降级(例如因硬件故障导致不可用),需要手动清理其元数据。可以使用以下命令完成此操作: ```powershell Remove-ADComputer -Identity "DCName$" -Partition "CN=Computers,DC=domain,DC=com" -Confirm:$false ``` 此外,还可以通过 Active Directory Sites and Services 工具手动删除相关对象。 #### 5. 验证降级结果 降级完成后,验证目标域控制器是否已从活动目录中移除。可以使用以下命令检查剩余域控制器的状态: ```powershell Get-ADDomainController -Filter * ``` #### 注意事项 - 在虚拟化环境中,确保遵循最佳安全实践,例如减少攻击面和使用只读域控制器 (RODC)[^2]。 - 在降级过程中,网络登录服务可能会被暂停以防止不一致的更新[^3]。 ```powershell # 示例:检查 FSMO 角色并转移 Get-ADDomain | Select-Object InfrastructureMaster, PDCEmulator, RIDMaster, DomainNamingMaster Move-ADDirectoryServerOperationMasterRole -Identity DC2 -OperationMasterRole 0,1,2,3,4 -force # 示例:执行域控制器降级 Uninstall-ADDSDomainController -Identity "DCName" -Force ```
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值