Понижение контроллера домена и удаление роли AD DS
Обновлено: 04.05.2021
Опубликовано: 27.06.2020
Используемые термины: Active Directory, FSMO.
Мы рассмотрим пример корректного удаление роли Active Directory Domain Services для Windows Server 2012 / 2012 R2 / 2016 / 2019.
Процесс полного удаления разобьем на несколько этапов:
1. Подготовка среды AD
Перенос ролей контроллера домена
Проверка состояния AD
2. Понижение уровня контроллера домена до рядового сервера
Графический интерфейс
Powershell
3. Удаление роли AD DS
Графический интерфейс
Powershell
4. Вывод сервера из домена
Графический интерфейс
Powershell
Вопросы и ответы
Подготовка системы
Если в нашей среде AD не один контроллер домена и мы не хотим удалять сам домен, а только один из его серверов со службой каталогов, стоит выполнить предварительные операции, чтобы минимизировать возможные проблемы.
Перенос ролей контроллера домена
Active Directory насчитывает 5 FSMO ролей, которые отвечают за корректную работу службы каталогов. Смотрим, на каких серверах запущены данные роли с помощью команд в Powershell:
Get-ADForest dmosk.local | ft DomainNamingMaster, SchemaMaster
Get-ADDomain dmosk.local | ft InfrastructureMaster, PDCEmulator, RIDMaster
* где dmosk.local — домен, для которого нужно узнать назначенные роли FSMO.
Если какие-то роли назначены на сервере, который планируется понизить, то необходимо с помощью команды типа:
Move-ADDirectoryServerOperationMasterRole <имя сервера, куда переносим> <название роли>
… передать роль.
Подробнее о передаче и захвате в инструкции Управление FSMO ролями Active Directory с помощью Powershell.
Проверка состояния AD
На любом из контроллеров домена вводим команду:
dcdiag /a /q
Данная команда запустит проверку состояния среды AD и выдаст ошибки, если такие будут. Необходимо обратить внимание на сообщения и, по возможности, решить проблемы.
Понижение контроллера домена
Первым шагом понизим наш сервер до рядового сервера. Это можно сделать с помощью графического интерфейса, Powershell или командной строки.
Графика
Открываем Диспетчер серверов и переходим в Управление — Удалить роли и компоненты:
Если откроется окно с приветствием, то просто нажимаем Далее (при желании, можно поставить галочку Пропускать эту страницу по умолчанию):
В окне «Выбор целевого сервера» выбираем сервер, для которого мы будем понижать уровень AD:
… и нажимаем Далее.
Снимаем галочку Доменные службы Active Directory. откроется окно в котором отобразится список компонентов для удаления — нажимаем Удалить компоненты:
Система вернет ошибку с предупреждением, что сначала нужно понизить AD — кликаем по ссылке Понизить уровень этого контроллера домена:
В следующем окне мы увидим предупреждение о том, что компьютер будет перезагружен и возможность принудительно понизить уровень — просто нажимаем Далее:
Система отобразит роли AD, которые будут удалены. Ставим галочку Продолжить удаление и нажимаем Далее:
Вводим дважды пароль учетной записи локального администратора, который будет использоваться после понижения до рядового сервера:
Кликаем по Понизить уровень:
Процесс займет какое-то время. После мы увидим «Уровень контроллера домена Active Directory успешно понижен»:
Сервер автоматически будет перезагружен.
Powershell
Открываем консоль Powershell от администратора и вводим:
Uninstall-ADDSDomainController
Система запросит пароль для локальной учетной записи администратора, которая будет использоваться после понижения — задаем новый пароль дважды:
LocalAdministratorPassword: **********
Подтвердить LocalAdministratorPassword: **********
Мы получим предупреждение о перезагрузки сервера. Соглашаемся:
После завершения этой операции сервер будет автоматически перезапущен. Когда вы удалите доменные службы Active
Directory на последнем контроллере домена, этот домен перестанет существовать.
Вы хотите продолжить эту операцию?
[Y] Да — Y [A] Да для всех — A [N] Нет — N [L] Нет для всех — L [S] Приостановить — S [?] Справка
(значением по умолчанию является «Y»): A
Для выполнения команды уйдет некоторое время, после чего сервер уйдет в перезагрузку.
Удаление роли AD DS
После понижения сервера роль, по-прежнему, будет установлена. Для ее удаления мы также можем воспользоваться графической оболочкой или командной строкой.
Графика
В диспетчере серверов кликаем снова по Управление — Удалить роли и компоненты:
Среди серверов выбираем тот, на котором будем удалять роль:
* сервер может быть только один. Тогда выбираем его.
Снимаем галочку Доменные службы Active Directory, в открывшемся окне кликаем по Удалить компоненты:
Галочка для доменных служб будет снята:
… кликаем по Далее несколько раз.
В последнем окне ставим галочку Автоматический перезапуск конечного сервера, если требуется и подтверждаем действие ответом Да:
Роль будет удалена, а сервер отправлен в перезагрузку.
Powershell
Запускаем Powershell от администратора и вводим:
Remove-WindowsFeature -Name AD-Domain-Services
Роль контроллера будет удалена. Мы должны увидеть сообщение:
ПРЕДУПРЕЖДЕНИЕ: Чтобы завершить удаление, вам необходимо перезапустить этот сервер.
Перезагружаем сервер:
shutdown -r -t 0
Вывод сервера из домена
В случае, если у нас есть другие контроллеры домена, наш сервер останется в домене. При необходимости его окончательного вывода из эксплуатации, стоит вывести его из среды AD.
Графика
Открываем свойства системы (команда control system или свойства Компьютера) и кликаем по Изменить параметры:
В открывшемся окне нажимаем на Изменить:
И переводим компьютер в рабочую группу:
* в данном примере в группу с названием WORKGROUP.
Система запросит логин и пароль от пользователя Active Directory, у которого есть права на вывод компьютеров из домена — вводим данные.
Если все сделано верно, мы должны увидеть окно:
После перезагружаем сервер или выключаем его.
Powershell
Запускаем Powershell от имени администратора и вводим:
Remove-Computer -UnjoinDomaincredential dmoskmaster -PassThru -Verbose
* где dmoskmaster — учетная запись в домене с правами вывода компьютеров из AD.
Соглашаемся продолжить, ознакомившись с предупреждением:
Подтверждение
Чтобы войти в систему на этом компьютере после его удаления из домена, вам потребуется пароль учетной записи локального
администратора. Вы хотите продолжить?
[Y] Да — Y [N] Нет — N [S] Приостановить — S [?] Справка (значением по умолчанию является «Y»): Y
Перезагружаем компьютер:
shutdown -r -t 0
… или выключаем:
shutdown -s -t 0
Вопросы и ответы
Дополнительные сведения относительно понижения и удаления AD.
1. Как удалить дочерний домен?
Мы должны быть уверены, что в данном домене не осталось важных ресурсов предприятия. После необходимо по очереди удалить все контроллеры домена по данной инструкции. При удалении последнего сервера AD для дочернего домена, будет удален сам дочерний домен из леса.
2. Как понизить режим работы домена?
Данный режим не понизить — это односторонняя операция. Максимум, что можно сделать, это восстановить службу AD из резервной копии, когда режим был нужного уровня.
3. Что делать, если умер основной контроллер домена?
Рассмотрим несколько вариантов:
- Если есть резервная копия, восстанавливаемся из нее.
- Если в среде несколько контроллеров домена, захватываем FSMO-роли (подробнее в инструкции Управление FSMO ролями Active Directory с помощью Powershell) и вручную удаляем уже несуществующий контроллер. После можно поднять новый контроллер, сделав его резервным.
- Хуже, когда нет ни копий, ни второго контроллера. В таком случае, поднимаем новый контроллер, создаем новый лес, домен и переводим все компьютеры в него.
4. Что делать, если контроллер домена возвращает ошибку при понижении?
Самый лучший способ, разобраться с ошибкой, решив проблему, которая ее вызывает. Если это не удалось сделать, принудительно понижаем сервер командой:
dcpromo /forceremoval
В этой статье мы рассмотрим процедуры корректного удаления контроллера домена Active Directory на Windows Server 2022/2019/2016/2012R2. Обычно при удалении контроллера домена рассматривается один из сценариев:
Содержание:
- Понижение контроллера домена с удалением роли Active Directory Domain Services
- Удаление неисправного контроллера домена Active Directory
Понижение контроллера домена с удалением роли Active Directory Domain Services
Если вы выполняете плановое удаление (декомиссию) одного из существующих контроллеров домена AD (обычного DC или RODC), то прежде чем понизить контроллер домена до рядового Windows Server и удалить роль ADDS, нужно выполнить ряд подготовительных шагов.
- Проверьте состояние вашего контроллера домена, Active Directory и репликации. На сайте есть отдельная статья с описанием команд диагностики здоровья контроллера домена и репликации в AD с помощью
dcdiag
,
repadmin
и скриптов PowerShell. Исправьте найденные проблемы. Для вывода списка ошибок на конкретном контроллере домена выполните команду:
dcdiag.exe /s:dc01 /q - Убедитесь, что на контроллере домена не запущены FSMO роли AD:
netdom query fsmo
Если нужно, перенесите роли FSMO на другой DC; - Убедитесь, что на DC не запушена роль DHCP сервера. Если запущена, мигрируйте ее на другой сервер;
- Измените настройки DNS для DHCP областей, которые выдаются клиентам IP адреса. Перенастройте DHCP клиентов на другой DNS сервер (дождитесь окончания времени аренды IP адресов, чтобы все клиенты получили новые настройки DNS). Вы можете вывести список DNS серверов, заданных для всех зон (DNS Servers Option 006) на определенном сервере с помощью следующей команды PowerShell (подробнее об управлении DHCP в Windows Server с помощью PowerShell):
Get-DhcpServerv4Scope -ComputerName msk-dhcp01.winitpro.ru| Get-DhcpServerv4OptionValue | Where-Object {$_.OptionID -like 6} | FT Value - Некоторые клиенты могут быть настроены на использование DNS сервера на DC вручную (сетевые устройства, сервера, принтеры, сканеры и т.д.). Вам нужно найти такие устройства и перенастроить их на другой DNS сервер. Проще всего обнаружить устройства, обращающиеся к DNS серверу по его логам. Вот подробная статья: Аудит DNS запросов клиентов в Windows Server по DNS логам;
- Если на контроллере домена запущен центр сертификации (роль Certificate Authority), нужно мигрировать его на другой сервер;
- Если на контроллере домена запущены другие службы (например, KMS сервер, Raduis/NPS, WSUS и т.д.), решите нужно ли переносить их на другие сервера;
- Воспользуйтесь командлетом
Test-ADDSDomainControllerUninstallation
, чтобы проверить оставшиеся зависимости и проблемы, с которыми вы можете столкнуться при удалении DC. Если командлет вернет статус
Sucсess
, можете продолжить.
Если нужно, перенесите роли FSMO на другой DC;
Теперь можно приступить к понижению роли контроллера домена до рядового сервера. До Windows Server 2012 для этого использовалась команда dcpromo. В современных версиях Windows Server этот инструмент считается устаревшим и не рекомендуется к использованию.
Вы можете понизить роль контроллера домена с помощью Server Manager. Запустите Server Manager -> Remote Roles and Features -> снимите чекбокс Active Directory Domain Services в секции Server Roles.
Нажмите на кнопку Demote this domain controller.
Должно открыться окно Active Directory Domain Services Configuration Wizard. Опцию Force the removal of this domain controller используется при удалении последнего контроллера домена. Включать ее не нужно. В дальнейшем мы удалим метаданные о DC вручную.
В следующем окне отметьте опцию Proceed with removal.
Затем задайте пароль учетной записи локального администратора сервера.
На последнем этапе останется нажать кнопку Demote.
Дождитесь окончания понижения контроллера домена. Должна появится надпись Successfully demoted the Active Directory Domain Controller.
Перезагрузите сервер, еще раз запустите Server Manager для удаления роли Active Directory Domain Services.
При удалении роли ADDS по-умолчанию будут удалены следующие компоненты:
- Модуль Active Directory Module for Windows PowerShell
- AD DS and AD LDS Tools feature
- Active Directory Administrative Center
- AD DS Snap-ins and Command-line Tools
- DNS Server
- Консоль Group Policy Management Console (
gpmc.msc
)
Запустите консоль Active Directory Users and Computers (dsa.msc) и убедитесь, что учетная запись контроллера домена была удалена из OU Domain Controllers.
Также вы можете удалить контроллер домена с помощью PowerShell командлета
Uninstall-ADDSDomainController
. Команда попросит вас задать пароль локального администратора и подтвердить понижение DC.
После перезагрузки останется с помощью PowerShell удалить роль ADDS:
Uninstall-WindowsFeature AD-Domain-Services -IncludeManagementTools
Теперь запустите консоль Active Directory Sites and Services (
dssite.msс
), найдите сайт контроллера домена и его учетную запись в разделе Servers. Разверните DC, щелкните ПКМ по NTDS Settings и выберите Delete.
Подтвердите удаление DC, отметив опцию Delete This Domain controller anyway. It is permanently offline and ac no longer be removed using the removal wizard.
Затем удалите учетную запись сервера.
Дождитесь окончания репликации в AD и проверьте состояние домена с помощью
dcdiag
и
repadmin
(как описано выше).
Удаление неисправного контроллера домена Active Directory
Если ваш контроллер домена вышел из строя (физический сервер или файлы виртуального DC на хранилище) и вы не планируете восстанавливать DC его из созданной ранее резервной копии контроллера домена, можно удалить его принудительно.
Важно. Удаленный таким образом контроллер домена ни в коем случае нельзя включать в сеть.
До Windows Server 2008 R2 для удаления неисправного контроллера домена и очистки его метаданных в AD использовалась консольная утилита ntdsutil. В современных версиях Windows Server 2022/2019/2016/2012 вы можете удалить вышедший из строя DC и корректно очистить метаданные с помощью графических
mmc
оснасток управления AD.
Откройте консоль ADUC (
dsa.msc
) и перейдите в контейнер Domain Controllers. Найдите учетную запись вашего DC и удалите ее.
Появится окно с подтверждением удаления DC. Включите опцию Delete this Domain Controller anyway. И нажмите кнопку Delete.
Active Directory автоматически очистит метаданные об удаленном DC из базы ntds.dit.
Теперь нужно удалить контроллер домена в консоли AD Sites and Services как описано выше.
И последний шаг – удаление записей о контроллере домена в DNS. Откройте консоль DNS Manager (
dnsmgmt.msc
).
Удалите сервер из списка Name Servers в настройках зоны.
Удалите статические записи Name Servers (NS), оставшиеся от удаленного DC в вашей DNS зоне и разделах
_msdcs
,
_sites
,
_tcp
,
_udp
, и PTR записи в обратной зоне.
Или воспользуйтесь PowerShell для поиска и удаления записей в DNS.
Итак, в этой статье мы описали пошаговую процедуру, которая поможет вам понизить контроллер домена или удалить неисправный DC из Active Directory.
Мне нужно удалить неработающий контроллер домена DC с Windows Server 2016. Следует ли мне задействовать NTDSUTIL?
В ранних версиях службы каталогов Active Directory, если у вас был нерабочий DC, который не отвечал, вам надо было использовать NTDSUTIL и выполнять очистку метаданных для удаления всех признаков DC на сервере. Но в новых версиях службы каталогов этого делать не требуется. Выполните следующие шаги:
- В оснастке AD Users and Computers удалите объект компьютера в разделе Domain Controllers OU.
- В оснастке AD Sites and Services удалите объект сервера в нужном сайте.
- Там же, в разделе AD Sites and Services, раскройте раздел DC на сайте, щелкните правой кнопкой мыши на объекте NTDS Settings и выберите пункт меню All Tasks, Check Replication Topology.
Тем не менее с помощью NTDSUTIL вы можете убедиться, что все очищено. Кроме того, мне нравится запускать команду repadmin/syncall, а не rcpadmin/showrepl. В листинге 4 показано, что надо сделать для проверки при помощи NTDSUTIL.
Нет похожих статей.
В этой статье показано, как понизить уровень контроллера домена в Windows Server. Указанный способ применим для Windows Server 2012 и более поздних версий, вплоть до Windows Server 2019 и Windows Server 2022.
Отменить повышение до контроллера доменов можно в PowerShell, а также с помощью инструментов настройки с графическим интерфейсом.
В этой статье пошагово объясняется, как удалить AD DS с помощью диспетчера сервера или Windows PowerShell.
Ошибка «The Active Directory domain controller needs to be demoted before the AD DS role can be removed»
Отмена добавления роли Контроллер доменов может понадобится, если вы хотите удалить компоненты Active Directory.
К примеру, при удалении Active Directory вы можете столкнуться со следующей ошибкой:
Error A prerequisite check for the AD-Domain-Services feature failed. 1. The Active Directory domain controller needs to be demoted before the AD DS role can be removed
Для её исправления необходимо начать с выключения контроллера домена на сервере, ниже показано, как это сделать.
Понижение и удаление роли Active Directory domain controller с помощью PowerShell
Выключение роли Контроллер доменов выполняется с помощью командлета Uninstall-ADDSDomainController. А удалить Active Directory и DNS сервер можно с помощью командлета Uninstall-WindowsFeature (Remove-WindowsFeature). Рассмотрим их опции:
| Командлеты ADDSDeployment и ServerManager | Аргументы (аргументы, выделенные жирным шрифтом, являются обязательными. Аргументы, выделенные курсивом, можно указать с помощью Windows PowerShell или мастера настройки AD DS.) |
|---|---|
| Uninstall-ADDSDomainController |
-SkipPreChecks -LocalAdministratorPassword -Confirm -Credential -DemoteOperationMasterRole -DNSDelegationRemovalCredential -Force -ForceRemoval -IgnoreLastDCInDomainMismatch -IgnoreLastDNSServerForZone -LastDomainControllerInDomain -Norebootoncompletion -RemoveApplicationPartitions -RemoveDNSDelegation -RetainDCMetadata |
| Uninstall-WindowsFeature/Remove-WindowsFeature |
-Name -IncludeManagementTools -Restart -Remove -Force -ComputerName -Credential -LogPath -Vhd |
Примечание: аргумент -credential требуется только в том случае, если вы ещё не вошли в систему в качестве члена группы Enterprise Admins (DC которого вы понижаете) или группы Domain Admins (администраторов домена) (DC которого вы понижаете). Аргумент -includemanagementtools требуется только в том случае, если вы хотите удалить все утилиты управления AD DS.
Следующая команда понизит сервер с контроллера домена до обычного сервера:
Uninstall-ADDSDomainController -DemoteOperationMasterRole:$true -IgnoreLastDnsServerForZone:$true -LastDomainControllerInDomain:$true -RemoveDnsDelegation:$true -RemoveApplicationPartitions:$true -IgnoreLastDCInDomainMismatch:$true -Force:$true
Во время выполнения вам будет предложено ввести пароль для локального администратора, который после удаления Контроллера домена станет основной учётной записью и заменит администратора домена.
Вы можете указать пароль прямо в команде, используя следующую опцию:
- -localadministratorpassword (convertto-securestring «Password1» -asplaintext -force)
После выполнения команды компьютер автоматически перезагрузиться.
Для удаления Active Directory и DNS сервера используйте следующие команды:
Uninstall-WindowsFeature -Name AD-Domain-Services -IncludeManagementTools Uninstall-WindowsFeature -Name DNS -IncludeManagementTools
Компоненты (роли) успешно удалены, но для вступления изменений в силу требуется перезагрузки сервера:
Success Restart Needed Exit Code Feature Result
------- -------------- --------- --------------
True Yes SuccessRest... {Active Directory Domain Services, Group P...
WARNING: You must restart this server to finish the removal process.
Теперь рассмотрим удаление ролей и компонентов через Диспетчер серверов.
Удаление контроллера домена в Server Manager (Менеджере серверов)
Нажмите клавишу «Windows» на клавиатуре и введите «Server Manager» для поиска приложения, откройте его.
Нажмите «Manage» → «Remove Roles and Features».
Нажмите «Next».
Выберите сервер и нажмите «Next».
Найдите пункт «Active Directory Domain Services» и снимите галочку из чек-бокса, затем нажмите «Next».
В открывшемся окне нажмите «Remove Feature».
Поскольку данный сервер является Контроллером домена, то невозможно удалить Active Directory Domain Services, пока не будет будет сделана отмена повышения до Контроллером домена. Поэтому возникает ошибка:
Validation Results The validation process found problems on the server from which you want to remove features. The selected features cannot be removed from the selected server. Click OK to select different features. Validation Results, Server The Active Directory domain controller needs to be demoted before the AD DS role can be removed.
Чтобы начать процесс удаления Контроллера домена, нажмите на «Demote this domain controller».
Поставьте галочку «Proceed with removal» и нажмите «Next».
Поставьте галочку «Last domain controller in the domain» и нажмите «Next».
Поставьте галочки «Remove this DNS zone (this is the last DNS server that hosts the zone», «Remove application partitions», «Remove DNS delegation» и нажмите «Next».
Введите пароль локального администратора, под чьей учётной записью будет выполняться вход после удаления контроллера домена и нажмите «Next».
Проверьте обобщённую информацию и нажмите кнопку «Demote».
Дождитесь завершения процесса понижения уровня контроллера домена.
После этого компьютер будет автоматически перезагружен.
После перезагрузки сервера вновь зайдите в «Server Manager». В нём нажмите «Manage» → «Remove Roles and Features».
Нажмите «Next».
Выберите сервер и нажмите «Next».
Найдите пункт «Active Directory Domain Services» и снимите галочку из чек-бокса, затем нажмите «Next». В открывшемся окне нажмите «Remove Feature».
Затем найдите пункт «DNS Server» и снимите галочку из чек-бокса, затем нажмите «Next». В открывшемся окне нажмите «Remove Feature».
После удаления всех больше ненужных функций и ролей нажмите «Next».
На следующем окре уже будут очищены чек-боксы, соответствующие удаляемым вспомогательным функциям и оснастке, нажмите «Next».
На странице подтверждения нажмите «Remove».
Теперь можно закрыть окно мастера.
Связанные статьи:
- Управление ролями и функциями Windows Server с помощью PowerShell (71.9%)
- Как установить Active Directory Domain Services с помощью PowerShell (70.8%)
- Как установить и использовать Модуль Active Directory для Windows PowerShell (59.9%)
- Как настроить Windows Server 2022 с помощью PowerShell (55.5%)
- Аналог Add-Computer в PowerShell 7 (54.4%)
- Get-ADComputer: поиск сведений о компьютерах и фильтр компьютеров по их свойствам в Active Directory (RANDOM — 50%)
Содержание
- Как удалить домен с компьютера
- Для чего выводить компьютеры из домена?
- Методы исключения компьютера из домена
- Меры предосторожности
- Вывод компьютера из домена классическим методом
- Исключение из домена Windows 10 и Windows Server 2016
- Метод вывода для Windows 10 версий 1503-1511
- Метод вывода для Windows 10 версий 1607 и выше
- Исключение из домена через PowerShell
- Исключение из домена через NETDOM.EXE
- Блог системного администратора Windows/Linux/FreeBSD
- Как правильно удалить доменную учетную запись на клиентском компьютере в Windows
- Похожие записи:
- Как правильно удалить доменную учетную запись на клиентском компьютере в Windows : 3 комментария
- Table of Contents:
- Через панель управления
- Шаг 1
- Шаг 2
- Шаг 3
- Шаг 4
- Шаг 1
- Шаг 2
- Шаг 3
- Шаг 4
- Как найти идентификатор компьютера моего компьютера
- Как удалить или удалить Windows с вашего компьютера
- Как перенаправить старый домен на новый домен через htaccess 301
- Как удалить домен с компьютера
- Вопрос
- Понижение контроллера домена и удаление роли AD DS
- Подготовка системы
- Перенос ролей контроллера домена
- Проверка состояния AD
- Понижение контроллера домена
- Графика
- Powershell
- Удаление роли AD DS
- Графика
- Powershell
- Вывод сервера из домена
- Графика
- Powershell
- Вопросы и ответы
Как удалить домен с компьютера
Добрый день! Уважаемые читатели и гости, одного из крупнейших IT блогов рунета Pyatilistnik.org. В прошлый раз я вам показал, все методы ввода Windows 10 в домен, сегодня я хочу показать обратную задачу, и научу вас правильно выводить компьютеры из домена, будь то клиентские версии Windows 7, 8.1 или же серверные Windows Server. Расскажу для чего, это нужно уметь и почему нельзя просто забить на такие компьютеры. Уверен, что данная информация окажется для начинающих системных администраторов полезное, ее кстати любят спрашивать на собеседованиях. Ну приступаем.
Для чего выводить компьютеры из домена?
И так если вы задались этим вопросом, то у вас как минимум есть домен Actvie Directory и вы хотели бы в нем навести порядок (Если не знаете, что такое Active Directory, то читайте об этом по ссылке слева). Наверняка многие пользователи могут спросить, зачем вообще проводить эту процедуру, на это есть ряд причин:
Методы исключения компьютера из домена
Меры предосторожности
Вывод компьютера из домена классическим методом
Данный метод подойдет абсолютно для любой версии Windows, начиная с Vista. Тут все просто вы открываете всем известное окно выполнить (Сочетанием клавиш WIN и R) и пишите в нем вот такую команду sysdm.cpl и нажмите OK.
Так же в него можно попасть и другим методом, через свойства значка «Этот компьютер». Щелкните по нему правым кликом и выберите свойства. В открывшемся окне «Система» выберите пункт «Изменить параметры»
В окне «Имя компьютера» нажмите кнопку «Изменить», далее в открывшемся окошке «Изменение имени компьютера или домена» деактивируйте поля «Является членом домена» и выставите рабочей группы.
Заполните поле имени рабочей группы и нажмите кнопку «OK», у вас появится окно:
Вам сообщат, что вы теперь являетесь членом рабочей группы. Будет произведена перезагрузка вашей рабочей станции, в моем примере, это Windows 10.
При правильном выводе компьютера из Active Directory, вы увидите, что в оснастке ADUC, данный компьютер будет отключен в контейнере, где он располагался. Об этом будет говорить стрелка вниз на его значке. Напоминаю, что это классический метод исключения из AD, подходит абсолютно для всех систем Windows.
Исключение из домена Windows 10 и Windows Server 2016
Данный метод, будет подходить исключительно для последних версий систем Windows 10 и Windows Server 2016, на момент написания статьи. В случае с десяткой, где интерфейс кардинально меняется от версии к версии, последовательность действий будет разниться.
Метод вывода для Windows 10 версий 1503-1511
Данный метод для Windows 10 Threshold и Threshold 2. Если не знаете, какая у вас версия, то вот вам статья, как определить версию Windows. Вам необходимо открыть параметры системы, делается, это либо через кнопку «Пуск» или же сочетанием клавиш WIN и I одновременно. Находим там пункт «Система».
В самом низу находим пункт «О Системе» и видим кнопку «Отключиться от организации», нажимаем ее.
В окне «Отключение от организации» просто нажмите продолжить.
У вас просто появится окно с предложением о перезагрузке, соглашаемся.
В оснастке ADUC данный компьютер так же был отключен.
Метод вывода для Windows 10 версий 1607 и выше
Данный метод будет рассмотрен для версии Windows 10 1803, так как я писал, что концепция изменилась, функционал перенесли в другое место. Вы все так же открываете «Параметры Windows 10», но уже переходите в пункт «Учетные записи»
Далее находите пункт «Доступ к учетной записи места работы или учебного заведения» и нажимаете отключиться.
У вас выскочит окно с уведомлением:
После подтверждения, у вас появится еще одно окно, в котором вас еще раз уведомят и захотят удостовериться в ваших действиях.
Нажимаем кнопку «Отключить»
Открыв оснастку ADUC, я обратил внимание, что учетная запись компьютера, которого я вывел из домена, не отключилась, что очень странно, поэтому сделайте это в ручную.
Исключение из домена через PowerShell
Я вам не перестаю повторять, что PowerShell, просто обязан быть в вашем инструментарии системного администратора, он умеет если не все, то почти все. Открываем оснастку PowerShell от имени администратора и вводим команду:
У вас откроется форма с вводом пароля учетной записи,что вы указали для вывода рабочей станции из AD, указываем пароль и нажимаем «OK»
У вас спросят подтверждения на ваши действия, соглашаемся и вводим Y.
Все ваш Windows 10 с помощью PowerShell был выведен из состава домена Active Directory. В оснастке ADUC, данный компьютер был отключен, в отличии от предыдущего метода.
Исключение из домена через NETDOM.EXE
Напоминаю, что на клиентских Windows системах этой утилиты нет и ее нужно отдельно скачивать, она идет в составе Windows Server 2003 Resource Kit Tools. Сама команда вывода из домена выглядит вот так и запускается в cmd от имени администратора:
Источник
Блог системного администратора Windows/Linux/FreeBSD
Как правильно удалить доменную учетную запись на клиентском компьютере в Windows
Бывает так, что приспичит админу удалить глючный профиль глючного пользователя с компьютера под управлением Windows. Некоторые топовые админы просто удаляют папку с пользователем в C:Users, а когда заходят заново под этим юзером получают шляпу в виде префикса доменного имени в названии каталога юзера. Так делать не надо.
Как правильно удалить доменную учетную запись пользователя в Windows?
Для этого нужно:
1. Залогиниться под админской учетной записью на компьютер, запустить редактор реестра (win+r regedit), зайти в ветку реестра HKLMSoftwareMicrosoftWindows NTCurrentVersionProfileList и удалить раздел с нужной учетной записью вида S-1-5-21-1512030429-1706424272-4144566235-1671 (ориентироваться по параметру ProfileImagePath).
2. Перейти в C:Users и удалить/переименовать нужную учетную запись.
3. Перезагрузить компьютер.
Похожие записи:
Как правильно удалить доменную учетную запись на клиентском компьютере в Windows : 3 комментария
Норм, коротко и понятно!
Столкнулся с следущей проблемой: Не удаётся удалить все выделенные параметры
Скорее всего делаешь без прав администратора. Попробуй с загрузочного диска (или флешки) запустить regedit и внести изменения.
Источник
Table of Contents:
Кредит: Джейкоб Амменторп Лунд / iStock / Getty Images
Через панель управления
Шаг 1
Войдите на свой компьютер как администратор. Нажмите «Windows-W», чтобы открыть экран настроек, а затем введите «sys» в поле поиска.
Шаг 2
Выберите «Система» из результатов, чтобы открыть окно «Система» на панели управления, а затем прокрутите вниз до раздела «Имя компьютера, домен и параметры рабочей группы».
Шаг 3
Нажмите «Изменить настройки», чтобы открыть окно «Свойства системы», а затем нажмите «Изменить», чтобы просмотреть членство в домене.
Шаг 4
Выберите «Рабочая группа» в разделе «Участник» и введите имя рабочей группы или используйте имя по умолчанию. Нажмите «ОК», чтобы покинуть домен.
Шаг 1
Войдите на контроллер домена как администратор, а затем щелкните правой кнопкой мыши пустую область на начальном экране.
Шаг 2
Шаг 3
Выберите «Компьютеры» в дереве консоли и затем щелкните правой кнопкой мыши соответствующий компьютер в области сведений.
Шаг 4
Выберите «Удалить» из контекстного меню, чтобы удалить компьютер из домена.
Как найти идентификатор компьютера моего компьютера
Как удалить или удалить Windows с вашего компьютера
Как удалить или удалить Windows 10, Windows 7 или Windows 8 с вашего ПК. Как удалить Windows при использовании нескольких операционных систем, в том числе при использовании Ubuntu Linux.
Как перенаправить старый домен на новый домен через htaccess 301
Источник
Как удалить домен с компьютера
Вопрос
Ребят подскажите, не могу сам сообразить. Есть:
1) Сеть
2) Сервер Windows Server 2016
3) Клиентские компьютеры Windows 10 Pro
4) Учётные записи AD.
Всё работает хорошо, как надо. Но на одном компьютере, с одной доменной учёткой произошла фигня, нету предварительной версии Скайпа. Всё есть, а Скайпа нету. Вооо дела. На этом компе на других учётках предварительный Скайп есть, а тут нету. Ну думаю мало ли что, лезу в магазин и пытаюсь Скайп поставить. Не тут то было, Скайп не ставиться, выскакивает ошибка. Я уже и так и сяк этот магазин тигал, и кэши сбрасывал и другие народные средства, не в какую. Предварительная версия Скайпа именно на этой учётке не ставиться хоть ты тресни.
Ну ладно. всякое бывает. Дай думаю я эту учётку завалю на компьютере. Лезу значит в Гугл, ответа нет. Выскакивает всякая ерунда по поводу удаления учётки с самого AD, а вот что бы с компа, Гугл не знает такого. Ну хорошо, лезу в Яндекс и тут мне находится такой совет:
[CODE]
1. Залогиниться под админской учетной записью на компьютер, запустить редактор реестра (win+r regedit), зайти в ветку реестра HKLMSoftwareMicrosoftWindows NTCurrentVersionProfileList и удалить раздел с нужной учетной записью вида S-1-5-21-1512030429-1706424272-4144566235-1671 (ориентироваться по параметру ProfileImagePath).
2. Перейти в C:Users и удалить/переименовать нужную учетную запись.
3. Перезагрузить компьютер.[/CODE]
И теперь сколько бы я раз не удалял учётку по вышеописанному совету, заходя в учётку нет не одного Metro приложения. Подскажите как полностью удалить доменную учётку с клиентского компьютера?
Источник
Понижение контроллера домена и удаление роли AD DS
Мы рассмотрим пример корректного удаление роли Active Directory Domain Services для Windows Server 2012 / 2012 R2 / 2016 / 2019.
Процесс полного удаления разобьем на несколько этапов:
Подготовка системы
Если в нашей среде AD не один контроллер домена и мы не хотим удалять сам домен, а только один из его серверов со службой каталогов, стоит выполнить предварительные операции, чтобы минимизировать возможные проблемы.
Перенос ролей контроллера домена
Active Directory насчитывает 5 FSMO ролей, которые отвечают за корректную работу службы каталогов. Смотрим, на каких серверах запущены данные роли с помощью команд в Powershell:
Get-ADForest dmosk.local | ft DomainNamingMaster, SchemaMaster
Get-ADDomain dmosk.local | ft InfrastructureMaster, PDCEmulator, RIDMaster
* где dmosk.local — домен, для которого нужно узнать назначенные роли FSMO.
Если какие-то роли назначены на сервере, который планируется понизить, то необходимо с помощью команды типа:
Проверка состояния AD
На любом из контроллеров домена вводим команду:
Данная команда запустит проверку состояния среды AD и выдаст ошибки, если такие будут. Необходимо обратить внимание на сообщения и, по возможности, решить проблемы.
Понижение контроллера домена
Первым шагом понизим наш сервер до рядового сервера. Это можно сделать с помощью графического интерфейса, Powershell или командной строки.
Графика
Если откроется окно с приветствием, то просто нажимаем Далее (при желании, можно поставить галочку Пропускать эту страницу по умолчанию):
В окне «Выбор целевого сервера» выбираем сервер, для которого мы будем понижать уровень AD:
. и нажимаем Далее.
Снимаем галочку Доменные службы Active Directory. откроется окно в котором отобразится список компонентов для удаления — нажимаем Удалить компоненты:
Система вернет ошибку с предупреждением, что сначала нужно понизить AD — кликаем по ссылке Понизить уровень этого контроллера домена:
В следующем окне мы увидим предупреждение о том, что компьютер будет перезагружен и возможность принудительно понизить уровень — просто нажимаем Далее:
Система отобразит роли AD, которые будут удалены. Ставим галочку Продолжить удаление и нажимаем Далее:
Вводим дважды пароль учетной записи локального администратора, который будет использоваться после понижения до рядового сервера:
Кликаем по Понизить уровень:
Процесс займет какое-то время. После мы увидим «Уровень контроллера домена Active Directory успешно понижен»:
Сервер автоматически будет перезагружен.
Powershell
Открываем консоль Powershell от администратора и вводим:
Система запросит пароль для локальной учетной записи администратора, которая будет использоваться после понижения — задаем новый пароль дважды:
LocalAdministratorPassword: **********
Подтвердить LocalAdministratorPassword: **********
Мы получим предупреждение о перезагрузки сервера. Соглашаемся:
Для выполнения команды уйдет некоторое время, после чего сервер уйдет в перезагрузку.
После понижения сервера роль, по-прежнему, будет установлена. Для ее удаления мы также можем воспользоваться графической оболочкой или командной строкой.
Графика
Среди серверов выбираем тот, на котором будем удалять роль:
* сервер может быть только один. Тогда выбираем его.
Снимаем галочку Доменные службы Active Directory, в открывшемся окне кликаем по Удалить компоненты:
Галочка для доменных служб будет снята:
. кликаем по Далее несколько раз.
В последнем окне ставим галочку Автоматический перезапуск конечного сервера, если требуется и подтверждаем действие ответом Да:
Роль будет удалена, а сервер отправлен в перезагрузку.
Powershell
Запускаем Powershell от администратора и вводим:
Роль контроллера будет удалена. Мы должны увидеть сообщение:
ПРЕДУПРЕЖДЕНИЕ: Чтобы завершить удаление, вам необходимо перезапустить этот сервер.
Вывод сервера из домена
В случае, если у нас есть другие контроллеры домена, наш сервер останется в домене. При необходимости его окончательного вывода из эксплуатации, стоит вывести его из среды AD.
Графика
Открываем свойства системы (команда control system или свойства Компьютера) и кликаем по Изменить параметры:
В открывшемся окне нажимаем на Изменить:
И переводим компьютер в рабочую группу:
* в данном примере в группу с названием WORKGROUP.
Система запросит логин и пароль от пользователя Active Directory, у которого есть права на вывод компьютеров из домена — вводим данные.
Если все сделано верно, мы должны увидеть окно:
После перезагружаем сервер или выключаем его.
Powershell
Запускаем Powershell от имени администратора и вводим:
* где dmoskmaster — учетная запись в домене с правами вывода компьютеров из AD.
Соглашаемся продолжить, ознакомившись с предупреждением:
Вопросы и ответы
Дополнительные сведения относительно понижения и удаления AD.
1. Как удалить дочерний домен?
Мы должны быть уверены, что в данном домене не осталось важных ресурсов предприятия. После необходимо по очереди удалить все контроллеры домена по данной инструкции. При удалении последнего сервера AD для дочернего домена, будет удален сам дочерний домен из леса.
2. Как понизить режим работы домена?
Данный режим не понизить — это односторонняя операция. Максимум, что можно сделать, это восстановить службу AD из резервной копии, когда режим был нужного уровня.
3. Что делать, если умер основной контроллер домена?
Рассмотрим несколько вариантов:
4. Что делать, если контроллер домена возвращает ошибку при понижении?
Самый лучший способ, разобраться с ошибкой, решив проблему, которая ее вызывает. Если это не удалось сделать, принудительно понижаем сервер командой:
Источник
Как правильно удалить контроллер домена из AD?
В ситуации, когда необходимо вывести контроллер домена из AD, а к таким относятся — физический выход из строя сервера или его изъятие, необходимо выполнить правильное удаление неактивного DC из Active Direcroty. В данной заметке представлена инструкция по корректному удалению вышедшего из строя контроллера домена из Active Directory при помощи утилиты NTDSutil.
Итак, приступим:
1. необходимо выполнить вход на работающий контролер домена (по RDP или локально — как вам будет удобнее) под учетной записью администратора домена.
2. запустить PowerShell(PS) от имени администратора (она удобнее чем CMD) и запустить утилиту ntdsutil.exe
PS C:> ntdsutil.exe C:Windowssystem32ntdsutil.exe:
3. в утилите ntdsutil необходимо ввести metadata cleanup и нажмите enter (появится приглашение на очистку метаданных)
C:Windowssystem32ntdsutil.exe: metadata cleanup metadata cleanup:
4. далее вводим команду connections, в результате отработки этой команды будет выведено приглашение на подключение к серверу:»server connections:«
metadata cleanup: connections server connections:
5. далее необходимо подключиться к исправному контролеру домена командой: connect to server ServerName, где ServerName — имя исправного DC с которого будет производиться процедура удаления
server connections: connect to server ServerName Binding to ServerName... Connected to ServerName using credentials of locally logged on user.
6. После успешного подключения к работоспособному DC выходим из server connections командой quit и нажимаем ввод — появляется приглашение metadata cleanup
server connections: quit metadata cleanup:
7. Вводим команду: select operation target
metadata cleanup: select operation target select operation target:
8. Смотрим список доменов командой: list domains, где «0» — порядковый номер домена, в котором находится неисправный DC; «DomainName» — имя вашего домена. В моем примере в лесу имеется единственны домен под номером «0»
select operation target: list domain Found 1 domain(s) 0 - DC=DomainName,DC=ru
9. Выбираем интересующий нас домен командой: select domain 0
select operation target: select domain 0 No current site Domain - DC=DomainName,DC=ru No current server No current Naming Context
10. Смотрим список сайтов выбранного домена командой: list site
select operation target: list sites Found 2 site(s) 0 - CN=Site1,CN=Sites,CN=Configuration,DC=DomainName,DC=ru 1 - CN=Site2,CN=Sites,CN=Configuration,DC=DomainName,DC=ru
11. Действуем по аналогии с п.9 выбирая сайт, в котором состоит неисправный DC командой: select site 0 (в моем случае это Site1, если у вас неисправный DС находится в другом сайте – выберите его номер)
select operation target: select site 0 Site - CN=Site1,CN=Sites,CN=Configuration,DC=DomainName,DC=ru Domain - DC=DomainName,DC=ru No current server
12. Команда list servers in site – выводит список DC в выбранном нами сайте. Необходимо запомнить каким числом представлен неисправный DC и ввести эту цифру в следующей операции
select operation target: list servers in site Found 2 server(s) 0 - CN=DC01,CN=Servers,CN=Site1,CN=Sites,CN=Configuration,DC=DomainName,DC=ru 1 - CN=DC02,CN=Servers,CN=Site1,CN=Sites,CN=Configuration,DC=DomainName,DC=ru
13. Выбираем неисправный DC командой: select server 1 (где «1» номер неисправного DC, который необходимо удалить).
select operation target: select server 1 Site - CN=Site1,CN=Sites,CN=Configuration,DC=DomainName,DC=ru Domain - DC=DomainName,DC=ru Server - CN=DC02,CN=Servers,CN=Site1,CN=Sites,CN=Configuration,DC=DomainName,DC=ru DSA object - CN=NTDS Settings,CN=DC-02,CN=Servers,CN=Site1,CN=Sites,CN=Configuration,DC=DomainName,DC=ru DNS host name – DC02.DomainName.ru Computer object - CN=DC02,OU=Domain Controllers,DC=DomainName,DC=ru No current Naming Context
14. Командой quit — выходим из приглашения select operation target и попадаем в metadata cleanup
select operation target: quit metadata cleanup:
15. Командой remove selected server мы вызовем диалоговое сообщение, которое предупредит вас об выбранной операции удаления неисправного DC. Прочтите его и если уверены в решении удалить выбранный DC – нажмите «YES»
metadata cleanup: Remove selected server
16. Командой quit выйдите из утилиты ntdsutil
metadata cleanup: quit C:Windowssystem32ntdsutil.exe: quit PS C:>
17. Откройте оснастку Active Directory Users and Computers и убедитесь в отсутствии объекта неисправного контроллера домена (того, что мы только что удалили) в OU Domain Controllers
18. Откройте оснастку Active Directory Sites and Services выберите сайт, из которого мы удаляли неисправный DC, раскройте контейнер Servers и ПКМ удалите объект неисправного DC.
19. Откройте оснастку DNS и удалите всю оставшуюся информацию об уделенном нами неисправном DC во всех зонах и вложенных в них контейнерах, где найдете.
На этом процедура ручного удаления неисправного DC средствами утилиты NTDSUTIL завершена. Всем удачи и будьте аккуратнее 🙂
P.S.: Советую посмотреть прекрасный пример демонстрирующий подобную ситуацию.
- Remove From My Forums
Как из домена убрать уже не существующий контроллер домена?
-
Вопрос
-
Ребят подскажите пожалуйста, как удалить не существующий контроллер домена, пока был в отпуске, напарник создал на виртуалке третий контроллер домена, потом его удалил, на рабочем контроллере домена сейчас постоянно мдут
ошибки что не удалось реплецировать записи с тем КД которого уже не сущечствует, вроде записи в ДНС убрал этого сервака несуществующего, а контроллер домена всеравно что то пытается с ним реплицировать.
Ответы
-
Active Diretory Sites and Services -> Имя Сайта -> Server -> найти несуществующий контроллер -> удалить
-
Помечено в качестве ответа
8 августа 2016 г. 14:30
-
Помечено в качестве ответа
-
Active Diretory Sites and Services -> Имя Сайта -> Server -> найти несуществующий контроллер -> удалить
+
Active Directory Users and Computers -> DomainControllerName -> найти несуществующий контроллер -> удалить
Clean Up Server Metadata Windows Server 2008 and higher
Удалить в DNS
DNS server name, свойства
закладка Nameserver
удалите старый контроллер DC FQDN
Проделайте для всех зон.-
Изменено
Nikonov Aleksei
8 августа 2016 г. 14:35 -
Помечено в качестве ответа
Forest_IT
8 августа 2016 г. 19:43
-
Изменено
Содержание
- Удаление контроллера домена
- Подготовка к развертыванию
- Как передать fsmo роли другому контроллеру домена Active Directory через оснастки
- Очистка метаданных сервера с помощью Active Directory пользователей и компьютеровClean up server metadata using Active Directory Users and Computers
- Очистка метаданных сервера с помощью командной строкиClean up server metadata using the command line
- Удаление и переназначение исходного сервераRemove and repurpose the Source Server
- Удаление контроллера домена
- Удаление объектов CA из Active Directory
- Удаление учетной записи компьютера
- Очистка метаданных сервера с помощью программы NtdsutilTo clean up server metadata by using Ntdsutil
- Схема сети с неработающим контроллером в AD
- Очистка метаданных сервера с помощью Active Directory сайтов и службClean up server metadata using Active Directory Sites and Services
- Установка контроллера домена Windows Server 2019 с помощью Powershell
- Для чего выводить компьютеры из домена?
Удаление из домена active directory контроллера, который находиться в офлайне происходит в несколько простых и коротких этапов.
NTDSUTIL
- На исправном контролере домена из под администратора запускаем командную строку и вводим ntdsutil . Мы «вошли» в утилиту и должны увидеть приглашение «ntdsutil:» для ввода команд.
- Вводим команду metadata cleanup
-
Нам необходимо уточнить что именно нужно удалить. Вводим connections — мы вошли в меню для подключения к серверу.
- Вводим connect to server имя_сервера , где имя_сервера — имя исправного сервера с контроллером домена.
- Вводим команду quit — для возврата в меню Metadata Cleanup.
- Вводим команду select operation target
- Вводим команду list domains — появиться список доменов. У меня он один.
- Вводим команду select domain номер — указываем из какого домена мы хотим удалить сервер, где «номер» — номер домена из предыдущего списка.
- Вводим команду list sites — отобразится список узлов с номерами.
- Вводим команду select site номер, где номер — номер узла в котором находиться удаляемый сервер.
- Вводим команду list servers in site — выводим список серверов с номерами в указанном узле
- Вводим команду select server номер, где номер — номер сервера который мы хотим удалить.
- Вводим команду quit — выходим в меню metadata cleanup утилиты ntdsutil
- Вводим команду remove selected server — удаляем контроллер домена. Появиться окно с предупреждением, подтверждаем кнопкой «yes».
- Вводим quit — выходим из меню metadata cleanup утилиты ntdsutil
- Вводим quit — выходим из утилиты ntdsutil
Эта процедура выглядит приблизительно вот так:
Удаление из оснасток:
- Открываем оснастку «Active Directory Sites and Services», разворачиваем сайт (узел) в котором находиться удаляемый контроллер домена, убеждаемся что он не содержит никаких объектов и удаляем его.
- Открываем оснастку «Active Directory Users and Computers», разворачиваем контейнер «Domain Controllers» и убеждаемся что там нет удаляемого контроллера домена. Если есть — удаляем.
- Открываем оснастку «DNS Manager».
- Находим зону DNS в которой удаляемый контроллер домена был DNS-сервером.
- Кликаем правой кнопки мышки по зоне и выбираем Properties
- Переходим на вкладку Name Servers и удаляем не нужный контроллер домена.
- Жмем OК, для того чтобы удалить все оставшиеся DNS записи: HOST (A) или Pointer (PTR) и убеждаемся что в зоне не осталось никаких DNS записей связанных с удаляемым контроллером домена.
Предварительные требования к развертыванию контроллера домена только для чтения указаны ниже.
- Контроллер домена только для чтения должен перенаправлять запросы проверки подлинности доступному для записи контроллеру домена с ОС Windows Server 2008. На этом контроллере домена должна быть задана политика репликации паролей, определяющая необходимость репликации учетных данных в филиале для перенаправленных запросов от контроллера домена только для чтения.
- Домен должен работать в режиме Windows Server 2003 или более высоком, чтобы можно было использовать ограниченное делегирование Kerberos. Ограниченное делегирование используется для обработки вызовов безопасности, которые должны олицетворяться в контексте вызывающей стороны.
- Лес должен работать в режиме Windows Server 2003 или более высоком, чтобы можно было использовать репликацию связанного значения. Это обеспечивает более высокую согласованность репликации.
- В лесу необходимо однократно выполнить команду adprep /rodcprep для обновления разрешений во всех разделах каталога приложений DNS в лесу. Это позволяет всем контроллерам домена только для чтения, которые также являются DNS-серверами, успешно реплицировать разрешения.
Передача ролей fsmo через оснастки самый быстрый и наглядный метод.
Передача PDC, Диспетчер пула RID, Хозяин инфраструктуры.
Открываем оснастку Active Directory Пользователи и компьютеры, это можно сделать через пуск набрав dsa.msc.
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-02
Видим 3 DC контроллера, у dc3 стоит windows Server 2012 R2
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-03
Щелкаем правым кликом на уровне домена и выбираем Хозяева операций
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-04
Видим, что реально PDC, Диспетчер пула RID, Хозяин инфраструктуры держит DC01
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-05
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-06
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-07
Если вы нажмете кнопку изменить, то выскочит ошибка:
Данный контроллер домена является хозяином операций. Чтобы передать роль хозяина операций другому компьютеру, необходимо сначала подключиться к нему.
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-08
Из этого следует что для захвата нужно выбрать контроллер куда мы будем передавать роли, у меня это dc3.
Переходим на dc3 и открываем тоже ADUC
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-09
Выбираем хозяева операций
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-10
Видим текущий хозяин RID это dco1 и кому передаем это dc3, жмем изменить.
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-11
Подтверждаем
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-12
Роль успешна передана
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-13
Видим, что теперь хозяин RID dc3.msk.pyatilistnik.org
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-14
Тоже самое проделаем с PDC мастером
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-15
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-16
и с Инфраструктурой
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-17
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-18
Посмотрим кто хозяин ролей, делается это с помощью команды в командной строке:
netdom query fsmo
и видим три роли fsmo принадлежат dc3
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-19
Передача Schema master (мастера схемы)
Открываем оснастку Active Directory Схема, как ее добавить Active Directory Схема читаем тут.
правым кликом по корню и выбираем Хозяин операций
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-20
Мы подключимся к dc01. Нажимаем сменить
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-21
и получаем предупреждение: Текущий контроллер домена Active Directory является хозяином операций. Чтобы передать роль хозяина операций другому DC, нужно нацелить на этот DC схему AD,
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-22
Закрываем его. Щелкаем правым кликом опять по корню и выбираем Сменить контроллер домена Active Directory.
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-23
Вылезет окно с сообщением Оснастка схемы AD не подключена к хозяину операций схемы. Выполнение изменений невозможно. Изменения схемы могут быть сделаны только в схеме владельца FSMO.
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-24
Снова выбираем хозяина схемы и видим, что теперь сменить дает.
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-25
Да.
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-26
передана успешно.
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-27
Посмотрим кто хозяин ролей, делается это с помощью команды в командной строке:
netdom query fsmo
и видим уже 4 роли у dc3
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-28
Очистка метаданных сервера с помощью Active Directory пользователей и компьютеровClean up server metadata using Active Directory Users and Computers
- Откройте оснастку Пользователи и компьютеры Active Directory.Open Active Directory Users and Computers.
- Если вы определили партнеров репликации при подготовке к этой процедуре и не подключены к партнеру репликации удаленного контроллера домена, чьи метаданные будут удалены, щелкните правой кнопкой мыши узел Active Directory пользователи и компьютеры . , а затем выберите пункт изменить контроллер домена.If you have identified replication partners in preparation for this procedure and if you are not connected to a replication partner of the removed domain controller whose metadata you are cleaning up, right-click Active Directory Users and Computers node, and then click Change Domain Controller. Щелкните имя контроллера домена, из которого необходимо удалить метаданные, а затем нажмите кнопку ОК.Click the name of the domain controller from which you want to remove the metadata, and then click OK.
- Разверните домен контроллера домена, который был принудительно удален, и выберите пункт контроллеры домена.Expand the domain of the domain controller that was forcibly removed, and then click Domain Controllers.
- В области сведений щелкните правой кнопкой мыши объект компьютера контроллера домена, метаданные которого необходимо очистить, и выберите команду Удалить.In the details pane, right-click the computer object of the domain controller whose metadata you want to clean up, and then click Delete.
- В диалоговом окне домен Active Directory службы убедитесь, что отображается имя контроллера домена, который вы хотите удалить, и нажмите кнопку Да , чтобы подтвердить удаление объекта компьютера.In the Active Directory Domain Services dialog box, confirm the name of the domain controller you wish to delete is shown, and click Yes to confirm the computer object deletion.
- В диалоговом окне Удаление контроллера домена выберите этот контроллер домена постоянно в автономном режиме, и его нельзя будет понизить с помощью мастер установки доменных служб Active Directory (Dcpromo) , а затем нажать кнопку Удалить.In the Deleting Domain Controller dialog box, select This Domain Controller is permanently offline and can no longer be demoted using the Active Directory Domain Services Installation Wizard (DCPROMO), and then click Delete.
- Если контроллер домена является сервером глобального каталога, в диалоговом окне Удаление контроллера домена нажмите кнопку Да , чтобы продолжить удаление.If the domain controller is a global catalog server, in the Delete Domain Controller dialog box, click Yes to continue with the deletion.
- Если контроллер домена в настоящее время содержит одну или несколько ролей хозяина операций, нажмите кнопку ОК , чтобы переместить роль или роли на отображаемый контроллер домена.If the domain controller currently holds one or more operations master roles, click OK to move the role or roles to the domain controller that is shown. Этот контроллер домена нельзя изменить.You cannot change this domain controller. Если вы хотите переместить роль на другой контроллер домена, необходимо переместить роль после завершения процедуры очистки метаданных сервера.If you want to move the role to a different domain controller, you must move the role after you complete the server metadata cleanup procedure.
Очистка метаданных сервера с помощью командной строкиClean up server metadata using the command line
В качестве альтернативы можно очищать метаданные с помощью программы Ntdsutil. exe, программы командной строки, устанавливаемой автоматически на всех контроллерах домена и серверах, на которых установлены службы Active Directory облегченного доступа к каталогам (AD LDS).As an alternative, you can clean up metadata by using Ntdsutil.exe, a command-line tool that is installed automatically on all domain controllers and servers that have Active Directory Lightweight Directory Services (AD LDS) installed. Ntdsutil. exe также доступен на компьютерах с установленным RSAT.Ntdsutil.exe is also available on computers that have RSAT installed.
Удаление и переназначение исходного сервераRemove and repurpose the Source Server
Выключите исходный сервер и отключите его от сети.Turn off the Source Server and disconnect it from the network. Рекомендуется хотя бы одну неделю не выполнять переформатирование исходного сервера, чтобы убедиться, что все необходимые данные перенесены на конечный сервер.We recommend that you do not reformat the Source Server for at least one week to ensure that all the necessary data migrated to the Destination Server. После подтверждения переноса всех данных можно переустановить этот сервер в сети в качестве дополнительного сервера для других задач.After you have verified that all the data has migrated, you can reinstall this server on the network as a secondary server for other tasks, if required.
Примечание
Перезапустите конечный сервер после понижения уровня и удаления исходного сервера.After you demote and remove the Source Server, restart the Destination Server.
После понижения уровня исходного сервера он находится в неработоспособном состоянии.After you demote the Source Server, it is not in a healthy state. Если требуется перепрофилировать исходный сервер, проще всего отформатировать его, установить серверную операционную систему и затем настроить для использования в качестве дополнительного сервера.If you want to repurpose the Source Server, the simplest way is to reformat it, install a server operating system, and then set it up for use as an additional server.
Под удалением контроллера домена фактически понимается понижение его до роли обычного сервера. Порой бывает необходимо удалить один или несколько контроллеров из домена или переместить их в другой домен. Нельзя просто вывести контроллер из состава домена, поскольку информация о нем останется в каталоге
Соответственно, этот контроллер домена будет приниматься во внимание при формировании топологии репликации, выполнении аутентификации пользователей и т. п
Перед выполнением операции понижения контроллера домена необходимо убедиться в том, что контроллер не является сервером глобального каталога или исполнителем специализированных ролей. В последнем случае перед понижением контроллера домена администратор должен передать эти роли другим контроллерам. Необходимо, чтобы после понижения контроллера в домене оставался хотя бы один сервер глобального каталога.
Понижение контроллера, являющегося последним в домене, приводит к удалению домена. Операция удаления домена не может быть осуществлена (соответственно, будет прервана операция понижения последнего контроллера домена), если домен имеет дочерние домены. Запрещается также понижать контроллеры домена, являющиеся последними носителями реплик разделов приложений. Перед выполнением операции понижения администратор должен вручную удалить разделы приложений с помощью утилиты Ntdsutil.exe.
Для выполнения операции понижения необходимо, чтобы контроллер домена был работоспособным. Также должны быть доступны другие контроллеры домена. Это позволит выполнить изменения в каталоге, информирующие об удалении контроллера домена. Операция понижения контроллера домена выполняется мастером установки Active Directory (утилита Dcpromo).
В процессе понижения роли компьютера мастер установки проверит копию каталога понижаемого контроллера домена на предмет наличия реплик разделов приложений. Если будут обнаружены реплики, являющиеся последними, мастер выдаст соответствующее предупреждение (рис. 19.7). В этом случае мастер в следующем окне потребует подтвердить готовность администратора удалить эту реплику.
Рис. 19.7. На понижаемом контроллере домена обнаружены последние реплики разделов приложений
Удаление последней реплики раздела приложения приводит к потере всех хранящихся в ней данных. Как следствие это может привести к отказу или неверной работе приложений.
На заключительном этапе администратор должен будет предоставить информацию о пароле, который будет сопоставлен учетной записи локального администратора. Эта учетная запись будет создана мастером по окончании процедуры удаления компонентов службы каталога.
Удаление объектов CA из Active Directory
При установке центра сертификации в структуре Active Directory создается ряд служебных объектов CA, которые не удаляются при удалении роли ADCS. Удаляется только объект pKIEnrollmentService, благодаря чему клиенты не пытаются запрашивать новые сертификат у выведенного из эксплуатации CA.
Выведем список доступных центров сертификации (он пуст):
certutil
Откроем консоль Active Directory Site and Services и включим отображение сервисных веток, выбрав в верхнем меню пункт View ->Show Services Node.
Затем последовательно удалим следующие объекты AD:
- Центр сертификации в разделе Services -> Public Key Services -> AIA.
- Контейнер с именем сервера CA в разделе Services -> Public Key Services -> CDP.
- CA в разделе Services > Public Key Services > Certification Authorities.
- Проверьте, что в разделе Services -> Public Key Services -> Enrollment Services отсутствует объект pKIEnrollmentService (он должен удалиться во время процесса деинсталляции CA). Если он присутствует, удалите его вручную.
- Удалите шаблоны сертификатов, расположенные в разделе Services -> Public Key Services > Certificate Templates (выбелить все шаблоны CTRL+A).
| Удаление учетной записи компьютера с помощью средств интерфейса Windows |
-
Чтобы открыть оснастку «Active Directory — пользователи и компьютеры», нажмите кнопку Пуск, выберите Панель управления, дважды щелкните Администрирование, а затем дважды щелкните Active Directory — пользователи и компьютеры.
-
В дереве консоли щелкните пункт Компьютеры.
Местонахождение
Active Directory — пользователи и компьютерыdomain nodeКомпьютеры
Или щелкните папку, которая содержит нужный компьютер.
-
В области сведений щелкните правой кнопкой мыши компьютер, а затем выберите команду Удалить.
Дополнительная информация
- Для выполнения этой процедуры необходимо быть членом группы «Операторы учета», «Администраторы домена» или «Администраторы предприятия» в доменных службах Active Directory либо должны быть делегированы соответствующие полномочия. По соображениям безопасности для выполнения этой процедуры рекомендуется использовать команду Запуск от имени.
- Чтобы открыть оснастку «Active Directory — пользователи и компьютеры» другим способом, нажмите кнопку Пуск, выберите пункт Выполнить, а затем введите dsa.msc.
- Учетную запись компьютера также можно удалить, исключив компьютер из домена.
- Если удалить учетную запись компьютера, все связанные с ней разрешения и членства удаляются без возможности восстановления. Поскольку каждая учетная запись имеет уникальный идентификатор безопасности (SID), при создании новой учетной записи компьютера с таким же именем, как и у ранее удаленной учетной записи, новая запись не наследует те же разрешения и членства. Чтобы дублировать удаленную учетную запись компьютера, необходимо вручную заново создать все разрешения и членства.
- Задачу этой процедуры можно также выполнить, используя Модуль Active Directory для Windows PowerShell. Чтобы открыть Модуль Active Directory, нажмите кнопку Пуск и последовательно выберите пункты Администрирование и Модуль Active Directory для Windows PowerShell. Дополнительные сведения см. в статье «Удаление учетной записи компьютера» (страница может быть на английском языке) (https://go.microsoft.com/fwlink/?LinkId=138386). Дополнительные сведения о Windows PowerShell см. в статье о Windows PowerShell (страница может быть на английском языке) (https://go.microsoft.com/fwlink/?LinkId=102372).
| Удаление учетной записи компьютера с помощью командной строки |
-
Чтобы открыть командную строку, нажмите кнопку Пуск, выберите пункт Выполнить, введите cmd, а затем нажмите кнопку ОК.
-
Введите указанную ниже команду и нажмите клавишу ВВОД.
dsrm computer
| Параметр | Описание |
|---|---|
|
Задает различающееся имя удаляемого компьютера. Различающееся имя указывает местоположение каталога. |
Для просмотра полного синтаксиса данной команды и сведений о вводе в командную строку информации учетной записи пользователя введите следующую команду, а затем нажмите клавишу ВВОД.
dsrm computer /?
Дополнительная информация
- Для выполнения этой процедуры необходимо быть членом группы «Операторы учета», «Администраторы домена» или «Администраторы предприятия» в доменных службах Active Directory либо должны быть делегированы соответствующие полномочия. По соображениям безопасности для выполнения этой процедуры рекомендуется использовать команду Запуск от имени.
- Учетную запись компьютера также можно удалить, исключив компьютер из домена.
- Если удалить учетную запись компьютера, все связанные с ней разрешения и членства удаляются без возможности восстановления. Поскольку каждая учетная запись имеет уникальный SID, при создании новой учетной записи компьютера с таким же именем, как и у ранее удаленной учетной записи, новая запись не наследует те же разрешения и членства. Чтобы дублировать удаленную учетную запись компьютера, необходимо вручную заново создать все разрешения и членства.
- Задачу этой процедуры можно также выполнить, используя Модуль Active Directory для Windows PowerShell. Чтобы открыть Модуль Active Directory, нажмите кнопку Пуск и последовательно выберите пункты Администрирование и Модуль Active Directory для Windows PowerShell. Дополнительные сведения см. в статье «Удаление учетной записи компьютера» (страница может быть на английском языке) (https://go.microsoft.com/fwlink/?LinkId=138386). Дополнительные сведения о Windows PowerShell см. в статье о Windows PowerShell (страница может быть на английском языке) (https://go.microsoft.com/fwlink/?LinkId=102372).
Очистка метаданных сервера с помощью программы NtdsutilTo clean up server metadata by using Ntdsutil
-
Откройте командную строку от имени администратора: В меню Пуск щелкните правой кнопкой мыши пункт Командная строкаи выберите команду Запуск от имени администратора.Open a command prompt as an administrator: On the Start menu, right-click Command Prompt, and then click Run as administrator. Если откроется диалоговое окно контроль учетных записей пользователей , укажите учетные данные администратора предприятия, если это необходимо, а затем нажмите кнопку продолжить.If the User Account Control dialog box appears, provide credentials of an Enterprise Administrator if required, and then click Continue.
-
В командной строке введите следующую команду и нажмите клавишу ВВОД:At the command prompt, type the following command, and then press ENTER:
-
В командной строке введите следующую ниже команду, а затем нажмите клавишу ВВОД.At the prompt, type the following command, and then press ENTER:
-
В командной строке введите следующую ниже команду, а затем нажмите клавишу ВВОД.At the prompt, type the following command, and then press ENTER:
-
В диалоговом окне Конфигурация удаления серверапросмотрите сведения и предупреждение, а затем нажмите кнопку Да , чтобы удалить объект сервера и метаданные.In Server Remove Configuration Dialog, review the information and warning, and then click Yes to remove the server object and metadata.
На этом этапе программа Ntdsutil подтверждает, что контроллер домена был успешно удален.At this point, Ntdsutil confirms that the domain controller was removed successfully. Если появится сообщение об ошибке, указывающее, что объект не найден, возможно, контроллер домена был удален ранее.If you receive an error message that indicates that the object cannot be found, the domain controller might have been removed earlier.
-
В приглашении введитеи нажмите клавишу ВВОД. At the and prompts, type , and then press ENTER.
-
Чтобы подтвердить удаление контроллера домена, выполните следующие действия.To confirm removal of the domain controller:
Откройте Active Directory пользователи и компьютеры.Open Active Directory Users and Computers. В домене удаленного контроллера домена щелкните контроллеры домена.In the domain of the removed domain controller, click Domain Controllers. В области сведений не должен отображаться объект для удаляемого контроллера домена.In the details pane, an object for the domain controller that you removed should not appear.
Откройте Active Directory сайты и службы.Open Active Directory Sites and Services. Перейдите к контейнеру серверы и убедитесь, что объект сервера для контроллера домена, который вы удалили, не содержит объект параметров NTDS.Navigate to the Servers container and confirm that the server object for the domain controller that you removed does not contain an NTDS Settings object. Если под объектом сервера не отображаются дочерние объекты, можно удалить объект сервера.If no child objects appear below the server object, you can delete the server object. Если отображается дочерний объект, не удаляйте серверный объект, так как этот объект используется другим приложением.If a child object appears, do not delete the server object because another application is using the object.
Схема сети с неработающим контроллером в AD
У меня есть инфраструктура Active Directory, есть домен msk.pyatilistnik.org и три контроллера: dc6, dc7, dc10. Последний как раз вышел из строя и находится вообще в другом сайте и его необходимо удалить, давайте я покажу как это правильно делать, так как просто нет возможности воспользоваться стандартной утилитой dcpromo,
dc10 будет удален, но перед этим, нам нужно удостовериться, что все FSMO роли у нас будут доступны на работающих контроллерах домена. Узнать держателя FSMO ролей можно командой:
netdom query fsmo
Как видите в моем случае первые две роли схемы и именования доменов, находятся на корневом контроллере домена в другом домене, а вот нужные мне три роли, располагаются на неисправном DC, до которого я не могу достучаться, в таком случае нам необходимо будет захватить с него все роли и передать их работающим контроллерам домена, после чего удалить о нем всю информацию в Active Directory.
Теперь, когда все роли захвачены или переданы, то можно производить удаление всех старых данных.
Если у вас уровень леса и домена Windows Server 2008 R2 и выше, то самый простой способ это удалить, объект компьютера из контейнера Domain Controllers, все старые метаданные будут удалены автоматически и вам не придется делать описанные ниже манипуляции. Но я хочу вам показать ручной способ, чтобы вы более глубоко понимали, что именно происходит и откуда удаляются данные о недоступном контроллере домена
Очистка метаданных сервера с помощью Active Directory сайтов и службClean up server metadata using Active Directory Sites and Services
- Откройте компонент «Active Directory — сайты и службы».Open Active Directory Sites and Services.
- Если вы определили партнеров репликации в процессе подготовки к этой процедуре и если вы не подключены к партнеру репликации удаленного контроллера домена, чьи метаданные удаляются, щелкните правой кнопкой мыши Active Directory сайты и службы, а затем затем щелкните изменить контроллер домена.If you have identified replication partners in preparation for this procedure and if you are not connected to a replication partner of the removed domain controller whose metadata you are cleaning up, right-click Active Directory Sites and Services, and then click Change Domain Controller. Щелкните имя контроллера домена, из которого необходимо удалить метаданные, а затем нажмите кнопку ОК.Click the name of the domain controller from which you want to remove the metadata, and then click OK.
- Разверните узел контроллера домена, который был принудительно удален, разверните узел серверы, разверните имя контроллера домена, щелкните правой кнопкой мыши объект Параметры NTDS и выберите команду Удалить.Expand the site of the domain controller that was forcibly removed, expand Servers, expand the name of the domain controller, right-click the NTDS Settings object, and then click Delete.
- В диалоговом окне Active Directory сайты и службы нажмите кнопку Да , чтобы подтвердить удаление параметров NTDS.In the Active Directory Sites and Services dialog box, click Yes to confirm the NTDS Settings deletion.
- В диалоговом окне Удаление контроллера домена выберите этот контроллер домена постоянно в автономном режиме, и его нельзя будет понизить с помощью мастер установки доменных служб Active Directory (Dcpromo) , а затем нажать кнопку Удалить.In the Deleting Domain Controller dialog box, select This Domain Controller is permanently offline and can no longer be demoted using the Active Directory Domain Services Installation Wizard (DCPROMO), and then click Delete.
- Если контроллер домена является сервером глобального каталога, в диалоговом окне Удаление контроллера домена нажмите кнопку Да , чтобы продолжить удаление.If the domain controller is a global catalog server, in the Delete Domain Controller dialog box, click Yes to continue with the deletion.
- Если контроллер домена в настоящее время содержит одну или несколько ролей хозяина операций, нажмите кнопку ОК , чтобы переместить роль или роли на отображаемый контроллер домена.If the domain controller currently holds one or more operations master roles, click OK to move the role or roles to the domain controller that is shown.
- Щелкните правой кнопкой мыши контроллер домена, который был принудительно удален, и выберите команду Удалить.Right-click the domain controller that was forcibly removed, and then click Delete.
- В диалоговом окне домен Active Directory службы нажмите кнопку Да , чтобы подтвердить удаление контроллера домена.In the Active Directory Domain Services dialog box, click Yes to confirm the domain controller deletion.
Установка контроллера домена Windows Server 2019 с помощью Powershell
Для начала я приведу вам пример работы скрипта PowerShell, который буквально за несколько минут установит доменные службы Active Directory, вам в нем лишь нужно будет вбить свои данные.
# Импорт модуля ServerManager Import-Module ServerManager # Установка роли AD DS со всеми зависимыми компонентами Add-WindowsFeature –Name AD-Domain-Services –IncludeAllSubFeature –IncludeManagementTools # Импорт модуля ADDSDeployment Import-Module ADDSDeployment # Установка нового леса Install-ADDSForest ` # Не включать делегирование -CreateDnsDelegation:$false ` # Путь к базе данных AD -DatabasePath «C:WindowsNTDS» ` # Режим работы домена -DomainMode «WinThreshold» ` # Задаем имя домена -DomainName «partner.pyatilistnik.info» ` # Задаем короткое NetBIOS имя -DomainNetbiosName «PARTNER» ` # Задаем режим работы леса -ForestMode «WinThreshold» ` # Указываем, что будем устанавливать DNS-сервер -InstallDns:$true ` # Задаем путь к NTDS -LogPath «C:WindowsNTDS» ` # Если требуется перезагрузка, то перезагружаемся -NoRebootOnCompletion:$false ` # Задаем путь до папки SYSVOL -SysvolPath «C:WindowsSYSVOL» ` -Force:$true
Скачать скрипт установки доменных служб Active Directory
Когда вы в скрипте подставите все свои данные, то запускаете его. У вас начнется сбор данных и установка AD DS.
Единственное, что у вас будет запрошено, так это задание пароля восстановления SafeModeAdministratorPassword, указываем его дважды, с точки зрения безопасности он должен быть отличный от пароля для доменного администратора.
Предварительная проверка.
Создание нового леса Active Directory. Далее последует перезагрузка. Не забываем поправить сетевой интерфейс и DNS на нем.
- Обычно операцию вывода из домена (Unjoin Windows) производят в ситуациях, когда компьютер может вылетать из домена, пример он не был активен более одного месяца, был банальный ремонт, а потом его решили ввести в эксплуатацию, в таких ситуациях люди ловят ошибку «отсутствуют серверы, которые могли бы обработать запрос».
- Просто для правильного соблюдения рекомендаций Microsoft, чтобы у вас не оставались лишние, ненужные объекты в AD, в противном случае, вам придется производить самостоятельный поиск неактивных компьютеров в Active Directory и вычищать все вручную.
- Третья причина, это переустановка сервера, например, обновление редакции, и если до этого вы правильно не вывели компьютер из домена, то при попытке ввести в домен Windows Server вы получите ошибку, что такой компьютер уже есть.