Понижение контроллера домена и удаление роли AD DS
Обновлено: 04.05.2021
Опубликовано: 27.06.2020
Используемые термины: Active Directory, FSMO.
Мы рассмотрим пример корректного удаление роли Active Directory Domain Services для Windows Server 2012 / 2012 R2 / 2016 / 2019.
Процесс полного удаления разобьем на несколько этапов:
1. Подготовка среды AD
Перенос ролей контроллера домена
Проверка состояния AD
2. Понижение уровня контроллера домена до рядового сервера
Графический интерфейс
Powershell
3. Удаление роли AD DS
Графический интерфейс
Powershell
4. Вывод сервера из домена
Графический интерфейс
Powershell
Вопросы и ответы
Подготовка системы
Если в нашей среде AD не один контроллер домена и мы не хотим удалять сам домен, а только один из его серверов со службой каталогов, стоит выполнить предварительные операции, чтобы минимизировать возможные проблемы.
Перенос ролей контроллера домена
Active Directory насчитывает 5 FSMO ролей, которые отвечают за корректную работу службы каталогов. Смотрим, на каких серверах запущены данные роли с помощью команд в Powershell:
Get-ADForest dmosk.local | ft DomainNamingMaster, SchemaMaster
Get-ADDomain dmosk.local | ft InfrastructureMaster, PDCEmulator, RIDMaster
* где dmosk.local — домен, для которого нужно узнать назначенные роли FSMO.
Если какие-то роли назначены на сервере, который планируется понизить, то необходимо с помощью команды типа:
Move-ADDirectoryServerOperationMasterRole <имя сервера, куда переносим> <название роли>
… передать роль.
Подробнее о передаче и захвате в инструкции Управление FSMO ролями Active Directory с помощью Powershell.
Проверка состояния AD
На любом из контроллеров домена вводим команду:
dcdiag /a /q
Данная команда запустит проверку состояния среды AD и выдаст ошибки, если такие будут. Необходимо обратить внимание на сообщения и, по возможности, решить проблемы.
Понижение контроллера домена
Первым шагом понизим наш сервер до рядового сервера. Это можно сделать с помощью графического интерфейса, Powershell или командной строки.
Графика
Открываем Диспетчер серверов и переходим в Управление — Удалить роли и компоненты:
Если откроется окно с приветствием, то просто нажимаем Далее (при желании, можно поставить галочку Пропускать эту страницу по умолчанию):
В окне «Выбор целевого сервера» выбираем сервер, для которого мы будем понижать уровень AD:
… и нажимаем Далее.
Снимаем галочку Доменные службы Active Directory. откроется окно в котором отобразится список компонентов для удаления — нажимаем Удалить компоненты:
Система вернет ошибку с предупреждением, что сначала нужно понизить AD — кликаем по ссылке Понизить уровень этого контроллера домена:
В следующем окне мы увидим предупреждение о том, что компьютер будет перезагружен и возможность принудительно понизить уровень — просто нажимаем Далее:
Система отобразит роли AD, которые будут удалены. Ставим галочку Продолжить удаление и нажимаем Далее:
Вводим дважды пароль учетной записи локального администратора, который будет использоваться после понижения до рядового сервера:
Кликаем по Понизить уровень:
Процесс займет какое-то время. После мы увидим «Уровень контроллера домена Active Directory успешно понижен»:
Сервер автоматически будет перезагружен.
Powershell
Открываем консоль Powershell от администратора и вводим:
Uninstall-ADDSDomainController
Система запросит пароль для локальной учетной записи администратора, которая будет использоваться после понижения — задаем новый пароль дважды:
LocalAdministratorPassword: **********
Подтвердить LocalAdministratorPassword: **********
Мы получим предупреждение о перезагрузки сервера. Соглашаемся:
После завершения этой операции сервер будет автоматически перезапущен. Когда вы удалите доменные службы Active
Directory на последнем контроллере домена, этот домен перестанет существовать.
Вы хотите продолжить эту операцию?
[Y] Да — Y [A] Да для всех — A [N] Нет — N [L] Нет для всех — L [S] Приостановить — S [?] Справка
(значением по умолчанию является «Y»): A
Для выполнения команды уйдет некоторое время, после чего сервер уйдет в перезагрузку.
Удаление роли AD DS
После понижения сервера роль, по-прежнему, будет установлена. Для ее удаления мы также можем воспользоваться графической оболочкой или командной строкой.
Графика
В диспетчере серверов кликаем снова по Управление — Удалить роли и компоненты:
Среди серверов выбираем тот, на котором будем удалять роль:
* сервер может быть только один. Тогда выбираем его.
Снимаем галочку Доменные службы Active Directory, в открывшемся окне кликаем по Удалить компоненты:
Галочка для доменных служб будет снята:
… кликаем по Далее несколько раз.
В последнем окне ставим галочку Автоматический перезапуск конечного сервера, если требуется и подтверждаем действие ответом Да:
Роль будет удалена, а сервер отправлен в перезагрузку.
Powershell
Запускаем Powershell от администратора и вводим:
Remove-WindowsFeature -Name AD-Domain-Services
Роль контроллера будет удалена. Мы должны увидеть сообщение:
ПРЕДУПРЕЖДЕНИЕ: Чтобы завершить удаление, вам необходимо перезапустить этот сервер.
Перезагружаем сервер:
shutdown -r -t 0
Вывод сервера из домена
В случае, если у нас есть другие контроллеры домена, наш сервер останется в домене. При необходимости его окончательного вывода из эксплуатации, стоит вывести его из среды AD.
Графика
Открываем свойства системы (команда control system или свойства Компьютера) и кликаем по Изменить параметры:
В открывшемся окне нажимаем на Изменить:
И переводим компьютер в рабочую группу:
* в данном примере в группу с названием WORKGROUP.
Система запросит логин и пароль от пользователя Active Directory, у которого есть права на вывод компьютеров из домена — вводим данные.
Если все сделано верно, мы должны увидеть окно:
После перезагружаем сервер или выключаем его.
Powershell
Запускаем Powershell от имени администратора и вводим:
Remove-Computer -UnjoinDomaincredential dmoskmaster -PassThru -Verbose
* где dmoskmaster — учетная запись в домене с правами вывода компьютеров из AD.
Соглашаемся продолжить, ознакомившись с предупреждением:
Подтверждение
Чтобы войти в систему на этом компьютере после его удаления из домена, вам потребуется пароль учетной записи локального
администратора. Вы хотите продолжить?
[Y] Да — Y [N] Нет — N [S] Приостановить — S [?] Справка (значением по умолчанию является «Y»): Y
Перезагружаем компьютер:
shutdown -r -t 0
… или выключаем:
shutdown -s -t 0
Вопросы и ответы
Дополнительные сведения относительно понижения и удаления AD.
1. Как удалить дочерний домен?
Мы должны быть уверены, что в данном домене не осталось важных ресурсов предприятия. После необходимо по очереди удалить все контроллеры домена по данной инструкции. При удалении последнего сервера AD для дочернего домена, будет удален сам дочерний домен из леса.
2. Как понизить режим работы домена?
Данный режим не понизить — это односторонняя операция. Максимум, что можно сделать, это восстановить службу AD из резервной копии, когда режим был нужного уровня.
3. Что делать, если умер основной контроллер домена?
Рассмотрим несколько вариантов:
- Если есть резервная копия, восстанавливаемся из нее.
- Если в среде несколько контроллеров домена, захватываем FSMO-роли (подробнее в инструкции Управление FSMO ролями Active Directory с помощью Powershell) и вручную удаляем уже несуществующий контроллер. После можно поднять новый контроллер, сделав его резервным.
- Хуже, когда нет ни копий, ни второго контроллера. В таком случае, поднимаем новый контроллер, создаем новый лес, домен и переводим все компьютеры в него.
4. Что делать, если контроллер домена возвращает ошибку при понижении?
Самый лучший способ, разобраться с ошибкой, решив проблему, которая ее вызывает. Если это не удалось сделать, принудительно понижаем сервер командой:
dcpromo /forceremoval
В этой статье мы рассмотрим процедуры корректного удаления контроллера домена Active Directory на Windows Server 2022/2019/2016/2012R2. Обычно при удалении контроллера домена рассматривается один из сценариев:
Содержание:
- Понижение контроллера домена с удалением роли Active Directory Domain Services
- Удаление неисправного контроллера домена Active Directory
Понижение контроллера домена с удалением роли Active Directory Domain Services
Если вы выполняете плановое удаление (декомиссию) одного из существующих контроллеров домена AD (обычного DC или RODC), то прежде чем понизить контроллер домена до рядового Windows Server и удалить роль ADDS, нужно выполнить ряд подготовительных шагов.
- Проверьте состояние вашего контроллера домена, Active Directory и репликации. На сайте есть отдельная статья с описанием команд диагностики здоровья контроллера домена и репликации в AD с помощью
dcdiag
,
repadmin
и скриптов PowerShell. Исправьте найденные проблемы. Для вывода списка ошибок на конкретном контроллере домена выполните команду:
dcdiag.exe /s:dc01 /q - Убедитесь, что на контроллере домена не запущены FSMO роли AD:
netdom query fsmo
Если нужно, перенесите роли FSMO на другой DC; - Убедитесь, что на DC не запушена роль DHCP сервера. Если запущена, мигрируйте ее на другой сервер;
- Измените настройки DNS для DHCP областей, которые выдаются клиентам IP адреса. Перенастройте DHCP клиентов на другой DNS сервер (дождитесь окончания времени аренды IP адресов, чтобы все клиенты получили новые настройки DNS). Вы можете вывести список DNS серверов, заданных для всех зон (DNS Servers Option 006) на определенном сервере с помощью следующей команды PowerShell (подробнее об управлении DHCP в Windows Server с помощью PowerShell):
Get-DhcpServerv4Scope -ComputerName msk-dhcp01.winitpro.ru| Get-DhcpServerv4OptionValue | Where-Object {$_.OptionID -like 6} | FT Value - Некоторые клиенты могут быть настроены на использование DNS сервера на DC вручную (сетевые устройства, сервера, принтеры, сканеры и т.д.). Вам нужно найти такие устройства и перенастроить их на другой DNS сервер. Проще всего обнаружить устройства, обращающиеся к DNS серверу по его логам. Вот подробная статья: Аудит DNS запросов клиентов в Windows Server по DNS логам;
- Если на контроллере домена запущен центр сертификации (роль Certificate Authority), нужно мигрировать его на другой сервер;
- Если на контроллере домена запущены другие службы (например, KMS сервер, Raduis/NPS, WSUS и т.д.), решите нужно ли переносить их на другие сервера;
- Воспользуйтесь командлетом
Test-ADDSDomainControllerUninstallation
, чтобы проверить оставшиеся зависимости и проблемы, с которыми вы можете столкнуться при удалении DC. Если командлет вернет статус
Sucсess
, можете продолжить.
Если нужно, перенесите роли FSMO на другой DC;
Теперь можно приступить к понижению роли контроллера домена до рядового сервера. До Windows Server 2012 для этого использовалась команда dcpromo. В современных версиях Windows Server этот инструмент считается устаревшим и не рекомендуется к использованию.
Вы можете понизить роль контроллера домена с помощью Server Manager. Запустите Server Manager -> Remote Roles and Features -> снимите чекбокс Active Directory Domain Services в секции Server Roles.
Нажмите на кнопку Demote this domain controller.
Должно открыться окно Active Directory Domain Services Configuration Wizard. Опцию Force the removal of this domain controller используется при удалении последнего контроллера домена. Включать ее не нужно. В дальнейшем мы удалим метаданные о DC вручную.
В следующем окне отметьте опцию Proceed with removal.
Затем задайте пароль учетной записи локального администратора сервера.
На последнем этапе останется нажать кнопку Demote.
Дождитесь окончания понижения контроллера домена. Должна появится надпись Successfully demoted the Active Directory Domain Controller.
Перезагрузите сервер, еще раз запустите Server Manager для удаления роли Active Directory Domain Services.
При удалении роли ADDS по-умолчанию будут удалены следующие компоненты:
- Модуль Active Directory Module for Windows PowerShell
- AD DS and AD LDS Tools feature
- Active Directory Administrative Center
- AD DS Snap-ins and Command-line Tools
- DNS Server
- Консоль Group Policy Management Console (
gpmc.msc
)
Запустите консоль Active Directory Users and Computers (dsa.msc) и убедитесь, что учетная запись контроллера домена была удалена из OU Domain Controllers.
Также вы можете удалить контроллер домена с помощью PowerShell командлета
Uninstall-ADDSDomainController
. Команда попросит вас задать пароль локального администратора и подтвердить понижение DC.
После перезагрузки останется с помощью PowerShell удалить роль ADDS:
Uninstall-WindowsFeature AD-Domain-Services -IncludeManagementTools
Теперь запустите консоль Active Directory Sites and Services (
dssite.msс
), найдите сайт контроллера домена и его учетную запись в разделе Servers. Разверните DC, щелкните ПКМ по NTDS Settings и выберите Delete.
Подтвердите удаление DC, отметив опцию Delete This Domain controller anyway. It is permanently offline and ac no longer be removed using the removal wizard.
Затем удалите учетную запись сервера.
Дождитесь окончания репликации в AD и проверьте состояние домена с помощью
dcdiag
и
repadmin
(как описано выше).
Удаление неисправного контроллера домена Active Directory
Если ваш контроллер домена вышел из строя (физический сервер или файлы виртуального DC на хранилище) и вы не планируете восстанавливать DC его из созданной ранее резервной копии контроллера домена, можно удалить его принудительно.
Важно. Удаленный таким образом контроллер домена ни в коем случае нельзя включать в сеть.
До Windows Server 2008 R2 для удаления неисправного контроллера домена и очистки его метаданных в AD использовалась консольная утилита ntdsutil. В современных версиях Windows Server 2022/2019/2016/2012 вы можете удалить вышедший из строя DC и корректно очистить метаданные с помощью графических
mmc
оснасток управления AD.
Откройте консоль ADUC (
dsa.msc
) и перейдите в контейнер Domain Controllers. Найдите учетную запись вашего DC и удалите ее.
Появится окно с подтверждением удаления DC. Включите опцию Delete this Domain Controller anyway. И нажмите кнопку Delete.
Active Directory автоматически очистит метаданные об удаленном DC из базы ntds.dit.
Теперь нужно удалить контроллер домена в консоли AD Sites and Services как описано выше.
И последний шаг – удаление записей о контроллере домена в DNS. Откройте консоль DNS Manager (
dnsmgmt.msc
).
Удалите сервер из списка Name Servers в настройках зоны.
Удалите статические записи Name Servers (NS), оставшиеся от удаленного DC в вашей DNS зоне и разделах
_msdcs
,
_sites
,
_tcp
,
_udp
, и PTR записи в обратной зоне.
Или воспользуйтесь PowerShell для поиска и удаления записей в DNS.
Итак, в этой статье мы описали пошаговую процедуру, которая поможет вам понизить контроллер домена или удалить неисправный DC из Active Directory.
Опубликовано: 27.06.2020
Используемые термины: Active Directory, FSMO.
Мы рассмотрим пример корректного удаление роли Active Directory Domain Services для Windows Server 2012 / 2012 R2 / 2016 / 2019.
Процесс полного удаления разобьем на несколько этапов:
Подготовка системы
Если в нашей среде AD не один контроллер домена и мы не хотим удалять сам домен, а только один из его серверов со службой каталогов, стоит выполнить предварительные операции, чтобы минимизировать возможные проблемы.
Перенос ролей контроллера домена
Active Directory насчитываем 5 FSMO ролей, которые отвечают за корректную работу службы каталогов. Смотрим, на каких серверах запущены данные роли с помощью команд в Powershell:
Get-ADForest admins24.local | ft DomainNamingMaster, SchemaMaster
Get-ADDomain admins24.local | ft InfrastructureMaster, PDCEmulator, RIDMaster
* где admins24.local — домен, для которого нужно узнать назначенные роли FSMO.
Если какие-то роли назначены на сервере, который планируется понизить, то необходимо с помощью команды типа:
Move-ADDirectoryServerOperationMasterRole <имя сервера, куда переносим> <название роли>
… передать роль.
Подробнее о передаче и захвате в инструкции Управление FSMO ролями Active Directory с помощью Powershell.
Проверка состояния AD
На любом из контроллеров домена вводим команду:
dcdiag /a /q
Данная команда запустит проверку состояния среды AD и выдаст ошибки, если такие будут. Необходимо обратить внимание на сообщения и, по возможности, решить проблемы.
Понижение контроллера домена
Первым шагом понизим наш сервер до рядового сервера. Это можно сделать с помощью графического интерфейса, Powershell или командной строки.
Графика
Открываем Диспетчер серверов и переходим в Управление — Удалить роли и компоненты:
Если откроется окно с приветствием, то просто нажимаем Далее (при желании, можно поставить галочку Пропускать эту страницу по умолчанию):
В окне «Выбор целевого сервера» выбираем сервер, для которого мы будем понижать уровень AD:
… и нажимаем Далее.
Снимаем галочку Доменные службы Active Directory. откроется окно в котором отобразится список компонентов для удаления — нажимаем Удалить компоненты:
Система вернет ошибку с предупреждением, что сначала нужно понизить AD — кликаем по ссылке Понизить уровень этого контроллера домена:
В следующем окне мы увидим предупреждение о том, что компьютер будет перезагружен и возможность принудительно понизить уровень — просто нажимаем Далее:
Система отобразит роли AD, которые будут удалены. Ставим галочку Продолжить удаление и нажимаем Далее:
Вводим дважды пароль учетной записи локального администратора, который будет использоваться после понижения до рядового сервера:
Кликаем по Понизить уровень:
Процесс займет какое-то время. После мы увидим «Уровень контроллера домена Active Directory успешно понижен»:
Сервер автоматически будет перезагружен.
Powershell
Открываем консоль Powershell от администратора и вводим:
Uninstall-ADDSDomainController
Система запросит пароль для локальной учетной записи администратора, которая будет использоваться после понижения — задаем новый пароль дважды:
LocalAdministratorPassword: **********
Подтвердить LocalAdministratorPassword: **********
Мы получим предупреждение о перезагрузки сервера. Соглашаемся:
После завершения этой операции сервер будет автоматически перезапущен. Когда вы удалите доменные службы Active
Directory на последнем контроллере домена, этот домен перестанет существовать.
Вы хотите продолжить эту операцию?
[Y] Да — Y [A] Да для всех — A [N] Нет — N [L] Нет для всех — L [S] Приостановить — S [?] Справка
(значением по умолчанию является «Y»): A
Для выполнения команды уйдет некоторое время, после чего сервер уйдет в перезагрузку.
Удаление роли AD DS
После понижения сервера роль, по-прежнему, будет установлена. Для ее удаления мы также можем воспользоваться графической оболочкой или командной строкой.
Графика
В диспетчере серверов кликаем снова по Управление — Удалить роли и компоненты:
Среди серверов выбираем тот, на котором будем удалять роль:
* сервер может быть только один. Тогда выбираем его.
Снимаем галочку Доменные службы Active Directory, в открывшемся окне кликаем по Удалить компоненты:
Галочка для доменных служб будет снята:
… кликаем по Далее несколько раз.
В последнем окне ставим галочку Автоматический перезапуск конечного сервера, если требуется и подтверждаем действие ответом Да:
Роль будет удалена, а сервер отправлен в перезагрузку.
Powershell
Запускаем Powershell от администратора и вводим:
Remove-WindowsFeature -Name AD-Domain-Services
Роль контроллера будет удалена. Перезагружаем сервер:
shutdown -r -t 0
Вывод сервера из домена
В случае, если у нас есть другие контроллеры домена, наш сервер останется в домене. При необходимости его окончательного вывода из эксплуатации, стоит вывести его из среды AD.
Графика
Открываем свойства системы (команда control system или свойства Компьютера) и кликаем по Изменить параметры:
В открывшемся окне нажимаем на Изменить:
И переводим компьютер в рабочую группу:
* в данном примере в группу с названием WORKGROUP.
Система запросит логин и пароль от пользователя Active Directory, у которого есть права на вывод компьютеров из домена — вводим данные.
Если все сделано верно, мы должны увидеть окно:
После перезагружаем сервер или выключаем его.
Powershell
Запускаем Powershell от имени администратора и вводим:
Remove-Computer -UnjoinDomaincredential admins24master -PassThru -Verbose
* где admins24master — учетная запись в домене с правами вывода компьютеров из AD.
Соглашаемся продолжить, ознакомившись с предупреждением:
Подтверждение
Чтобы войти в систему на этом компьютере после его удаления из домена, вам потребуется пароль учетной записи локального
администратора. Вы хотите продолжить?
[Y] Да — Y [N] Нет — N [S] Приостановить — S [?] Справка (значением по умолчанию является «Y»): Y
Перезагружаем компьютер:
shutdown -r -t 0
… или выключаем:
shutdown -s -t 0
Вопросы и ответы
Дополнительные сведения относительно понижения и удаления AD.
1. Как удалить дочерний домен?
Мы должны быть уверены, что в данном домене не осталось важных ресурсов предприятия. После необходимо по очереди удалить все контроллеры домена по данной инструкции. При удалении последнего сервера AD для дочернего домена, будет удален сам дочерний домен из леса.
2. Как понизить режим работы домена?
Данный режим не понизить — это односторонняя операция. Максимум, что можно сделать, это восстановить службу AD из резервной копии, когда режим был нужного уровня.
3. Что делать, если умер основной контроллер домена?
Рассмотрим несколько вариантов:
4. Что делать, если контроллер домена возвращает ошибку при понижении?
Самый лучший способ, разобраться с ошибкой, решив проблему, которая ее вызывает. Если это не удалось сделать, принудительно понижаем сервер командой:
dcpromo /forceremoval
В этой статье показано, как понизить уровень контроллера домена в Windows Server. Указанный способ применим для Windows Server 2012 и более поздних версий, вплоть до Windows Server 2019 и Windows Server 2022.
Отменить повышение до контроллера доменов можно в PowerShell, а также с помощью инструментов настройки с графическим интерфейсом.
В этой статье пошагово объясняется, как удалить AD DS с помощью диспетчера сервера или Windows PowerShell.
Ошибка «The Active Directory domain controller needs to be demoted before the AD DS role can be removed»
Отмена добавления роли Контроллер доменов может понадобится, если вы хотите удалить компоненты Active Directory.
К примеру, при удалении Active Directory вы можете столкнуться со следующей ошибкой:
Error A prerequisite check for the AD-Domain-Services feature failed. 1. The Active Directory domain controller needs to be demoted before the AD DS role can be removed
Для её исправления необходимо начать с выключения контроллера домена на сервере, ниже показано, как это сделать.
Понижение и удаление роли Active Directory domain controller с помощью PowerShell
Выключение роли Контроллер доменов выполняется с помощью командлета Uninstall-ADDSDomainController. А удалить Active Directory и DNS сервер можно с помощью командлета Uninstall-WindowsFeature (Remove-WindowsFeature). Рассмотрим их опции:
| Командлеты ADDSDeployment и ServerManager | Аргументы (аргументы, выделенные жирным шрифтом, являются обязательными. Аргументы, выделенные курсивом, можно указать с помощью Windows PowerShell или мастера настройки AD DS.) |
|---|---|
| Uninstall-ADDSDomainController |
-SkipPreChecks -LocalAdministratorPassword -Confirm -Credential -DemoteOperationMasterRole -DNSDelegationRemovalCredential -Force -ForceRemoval -IgnoreLastDCInDomainMismatch -IgnoreLastDNSServerForZone -LastDomainControllerInDomain -Norebootoncompletion -RemoveApplicationPartitions -RemoveDNSDelegation -RetainDCMetadata |
| Uninstall-WindowsFeature/Remove-WindowsFeature |
-Name -IncludeManagementTools -Restart -Remove -Force -ComputerName -Credential -LogPath -Vhd |
Примечание: аргумент -credential требуется только в том случае, если вы ещё не вошли в систему в качестве члена группы Enterprise Admins (DC которого вы понижаете) или группы Domain Admins (администраторов домена) (DC которого вы понижаете). Аргумент -includemanagementtools требуется только в том случае, если вы хотите удалить все утилиты управления AD DS.
Следующая команда понизит сервер с контроллера домена до обычного сервера:
Uninstall-ADDSDomainController -DemoteOperationMasterRole:$true -IgnoreLastDnsServerForZone:$true -LastDomainControllerInDomain:$true -RemoveDnsDelegation:$true -RemoveApplicationPartitions:$true -IgnoreLastDCInDomainMismatch:$true -Force:$true
Во время выполнения вам будет предложено ввести пароль для локального администратора, который после удаления Контроллера домена станет основной учётной записью и заменит администратора домена.
Вы можете указать пароль прямо в команде, используя следующую опцию:
- -localadministratorpassword (convertto-securestring «Password1» -asplaintext -force)
После выполнения команды компьютер автоматически перезагрузиться.
Для удаления Active Directory и DNS сервера используйте следующие команды:
Uninstall-WindowsFeature -Name AD-Domain-Services -IncludeManagementTools Uninstall-WindowsFeature -Name DNS -IncludeManagementTools
Компоненты (роли) успешно удалены, но для вступления изменений в силу требуется перезагрузки сервера:
Success Restart Needed Exit Code Feature Result
------- -------------- --------- --------------
True Yes SuccessRest... {Active Directory Domain Services, Group P...
WARNING: You must restart this server to finish the removal process.
Теперь рассмотрим удаление ролей и компонентов через Диспетчер серверов.
Удаление контроллера домена в Server Manager (Менеджере серверов)
Нажмите клавишу «Windows» на клавиатуре и введите «Server Manager» для поиска приложения, откройте его.
Нажмите «Manage» → «Remove Roles and Features».
Нажмите «Next».
Выберите сервер и нажмите «Next».
Найдите пункт «Active Directory Domain Services» и снимите галочку из чек-бокса, затем нажмите «Next».
В открывшемся окне нажмите «Remove Feature».
Поскольку данный сервер является Контроллером домена, то невозможно удалить Active Directory Domain Services, пока не будет будет сделана отмена повышения до Контроллером домена. Поэтому возникает ошибка:
Validation Results The validation process found problems on the server from which you want to remove features. The selected features cannot be removed from the selected server. Click OK to select different features. Validation Results, Server The Active Directory domain controller needs to be demoted before the AD DS role can be removed.
Чтобы начать процесс удаления Контроллера домена, нажмите на «Demote this domain controller».
Поставьте галочку «Proceed with removal» и нажмите «Next».
Поставьте галочку «Last domain controller in the domain» и нажмите «Next».
Поставьте галочки «Remove this DNS zone (this is the last DNS server that hosts the zone», «Remove application partitions», «Remove DNS delegation» и нажмите «Next».
Введите пароль локального администратора, под чьей учётной записью будет выполняться вход после удаления контроллера домена и нажмите «Next».
Проверьте обобщённую информацию и нажмите кнопку «Demote».
Дождитесь завершения процесса понижения уровня контроллера домена.
После этого компьютер будет автоматически перезагружен.
После перезагрузки сервера вновь зайдите в «Server Manager». В нём нажмите «Manage» → «Remove Roles and Features».
Нажмите «Next».
Выберите сервер и нажмите «Next».
Найдите пункт «Active Directory Domain Services» и снимите галочку из чек-бокса, затем нажмите «Next». В открывшемся окне нажмите «Remove Feature».
Затем найдите пункт «DNS Server» и снимите галочку из чек-бокса, затем нажмите «Next». В открывшемся окне нажмите «Remove Feature».
После удаления всех больше ненужных функций и ролей нажмите «Next».
На следующем окре уже будут очищены чек-боксы, соответствующие удаляемым вспомогательным функциям и оснастке, нажмите «Next».
На странице подтверждения нажмите «Remove».
Теперь можно закрыть окно мастера.
Связанные статьи:
- Управление ролями и функциями Windows Server с помощью PowerShell (71.9%)
- Как установить Active Directory Domain Services с помощью PowerShell (70.8%)
- Как установить и использовать Модуль Active Directory для Windows PowerShell (59.9%)
- Как настроить Windows Server 2022 с помощью PowerShell (55.5%)
- Аналог Add-Computer в PowerShell 7 (54.4%)
- Get-ADDomainController: получение информации о контроллерах домена через PowerShell (RANDOM — 50%)
- Remove From My Forums
Вывод из эксплуатации старого контроллера домена
-
Question
-
Добрый день!
Было два контроллера домена с уровнями леса и домена windows 2016. Необходимо было произвести миграцию на новые сервера на базе ОС Windows 2019. Сервера настроены, репликация между ними работает. Первому контроллеру
домена была понижена роль контроллера домена (роли FSMO переданы новым серверам). При попытке понизить роль дополнительного контроллера домена до обычного сервера домена возникли ошибки:The operation failed because:
A domain controller could not be contacted for the domain corp.applecat.com that contained an account for this computer. Make the computer a member of a workgroup then rejoin the domain before retrying the promotion.«The specified domain either does not exist or could not be contacted.»
С чем это может быть связано? Помогите, пожалуйста, разобраться.
Спасибо!
Answers
-
Ничего особо неожиданного. Думаю, следует использовать стандартную процедуру.
1. Сделайте резервную копию содержимого SYSVOL на эталонном КД (у вас это DC216)
2. Проверьте на всех КД и удалите, если он там есть, параметр «Parent Computer» в ключе HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesDFSRParametersSysVolsSeeding SysVolsrb.local
3. Выполните процедуры по синхронизации DFSR из решения в данном обусждении:
https://social.technet.microsoft.com/Forums/ru-RU/6ff3e207-64a2-4204-b5d7-073c0c84c760/-active-directory-?forum=ruwinserver2016 (там ещё про FRS есть, чисто для полноты — не обращайте внимание). Вместо команды dfsrdiag (она
входит в состав компонента средств администрирования DFS, который на КД может быть и не установлен) с параметром pollad можно просто перезапускать службу репликации DFS.
Слава России!
-
Proposed as answer by
Monday, December 30, 2019 2:36 AM
-
Marked as answer by
Apple98
Monday, December 30, 2019 4:47 AM
-
Proposed as answer by
Содержание
- Удаление контроллера домена
- Подготовка к развертыванию
- Как передать fsmo роли другому контроллеру домена Active Directory через оснастки
- Очистка метаданных сервера с помощью Active Directory пользователей и компьютеровClean up server metadata using Active Directory Users and Computers
- Очистка метаданных сервера с помощью командной строкиClean up server metadata using the command line
- Удаление и переназначение исходного сервераRemove and repurpose the Source Server
- Удаление контроллера домена
- Удаление объектов CA из Active Directory
- Удаление учетной записи компьютера
- Очистка метаданных сервера с помощью программы NtdsutilTo clean up server metadata by using Ntdsutil
- Схема сети с неработающим контроллером в AD
- Очистка метаданных сервера с помощью Active Directory сайтов и службClean up server metadata using Active Directory Sites and Services
- Установка контроллера домена Windows Server 2019 с помощью Powershell
- Для чего выводить компьютеры из домена?
Удаление из домена active directory контроллера, который находиться в офлайне происходит в несколько простых и коротких этапов.
NTDSUTIL
- На исправном контролере домена из под администратора запускаем командную строку и вводим ntdsutil . Мы «вошли» в утилиту и должны увидеть приглашение «ntdsutil:» для ввода команд.
- Вводим команду metadata cleanup
-
Нам необходимо уточнить что именно нужно удалить. Вводим connections — мы вошли в меню для подключения к серверу.
- Вводим connect to server имя_сервера , где имя_сервера — имя исправного сервера с контроллером домена.
- Вводим команду quit — для возврата в меню Metadata Cleanup.
- Вводим команду select operation target
- Вводим команду list domains — появиться список доменов. У меня он один.
- Вводим команду select domain номер — указываем из какого домена мы хотим удалить сервер, где «номер» — номер домена из предыдущего списка.
- Вводим команду list sites — отобразится список узлов с номерами.
- Вводим команду select site номер, где номер — номер узла в котором находиться удаляемый сервер.
- Вводим команду list servers in site — выводим список серверов с номерами в указанном узле
- Вводим команду select server номер, где номер — номер сервера который мы хотим удалить.
- Вводим команду quit — выходим в меню metadata cleanup утилиты ntdsutil
- Вводим команду remove selected server — удаляем контроллер домена. Появиться окно с предупреждением, подтверждаем кнопкой «yes».
- Вводим quit — выходим из меню metadata cleanup утилиты ntdsutil
- Вводим quit — выходим из утилиты ntdsutil
Эта процедура выглядит приблизительно вот так:
Удаление из оснасток:
- Открываем оснастку «Active Directory Sites and Services», разворачиваем сайт (узел) в котором находиться удаляемый контроллер домена, убеждаемся что он не содержит никаких объектов и удаляем его.
- Открываем оснастку «Active Directory Users and Computers», разворачиваем контейнер «Domain Controllers» и убеждаемся что там нет удаляемого контроллера домена. Если есть — удаляем.
- Открываем оснастку «DNS Manager».
- Находим зону DNS в которой удаляемый контроллер домена был DNS-сервером.
- Кликаем правой кнопки мышки по зоне и выбираем Properties
- Переходим на вкладку Name Servers и удаляем не нужный контроллер домена.
- Жмем OК, для того чтобы удалить все оставшиеся DNS записи: HOST (A) или Pointer (PTR) и убеждаемся что в зоне не осталось никаких DNS записей связанных с удаляемым контроллером домена.
Предварительные требования к развертыванию контроллера домена только для чтения указаны ниже.
- Контроллер домена только для чтения должен перенаправлять запросы проверки подлинности доступному для записи контроллеру домена с ОС Windows Server 2008. На этом контроллере домена должна быть задана политика репликации паролей, определяющая необходимость репликации учетных данных в филиале для перенаправленных запросов от контроллера домена только для чтения.
- Домен должен работать в режиме Windows Server 2003 или более высоком, чтобы можно было использовать ограниченное делегирование Kerberos. Ограниченное делегирование используется для обработки вызовов безопасности, которые должны олицетворяться в контексте вызывающей стороны.
- Лес должен работать в режиме Windows Server 2003 или более высоком, чтобы можно было использовать репликацию связанного значения. Это обеспечивает более высокую согласованность репликации.
- В лесу необходимо однократно выполнить команду adprep /rodcprep для обновления разрешений во всех разделах каталога приложений DNS в лесу. Это позволяет всем контроллерам домена только для чтения, которые также являются DNS-серверами, успешно реплицировать разрешения.
Передача ролей fsmo через оснастки самый быстрый и наглядный метод.
Передача PDC, Диспетчер пула RID, Хозяин инфраструктуры.
Открываем оснастку Active Directory Пользователи и компьютеры, это можно сделать через пуск набрав dsa.msc.
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-02
Видим 3 DC контроллера, у dc3 стоит windows Server 2012 R2
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-03
Щелкаем правым кликом на уровне домена и выбираем Хозяева операций
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-04
Видим, что реально PDC, Диспетчер пула RID, Хозяин инфраструктуры держит DC01
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-05
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-06
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-07
Если вы нажмете кнопку изменить, то выскочит ошибка:
Данный контроллер домена является хозяином операций. Чтобы передать роль хозяина операций другому компьютеру, необходимо сначала подключиться к нему.
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-08
Из этого следует что для захвата нужно выбрать контроллер куда мы будем передавать роли, у меня это dc3.
Переходим на dc3 и открываем тоже ADUC
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-09
Выбираем хозяева операций
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-10
Видим текущий хозяин RID это dco1 и кому передаем это dc3, жмем изменить.
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-11
Подтверждаем
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-12
Роль успешна передана
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-13
Видим, что теперь хозяин RID dc3.msk.pyatilistnik.org
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-14
Тоже самое проделаем с PDC мастером
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-15
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-16
и с Инфраструктурой
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-17
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-18
Посмотрим кто хозяин ролей, делается это с помощью команды в командной строке:
netdom query fsmo
и видим три роли fsmo принадлежат dc3
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-19
Передача Schema master (мастера схемы)
Открываем оснастку Active Directory Схема, как ее добавить Active Directory Схема читаем тут.
правым кликом по корню и выбираем Хозяин операций
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-20
Мы подключимся к dc01. Нажимаем сменить
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-21
и получаем предупреждение: Текущий контроллер домена Active Directory является хозяином операций. Чтобы передать роль хозяина операций другому DC, нужно нацелить на этот DC схему AD,
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-22
Закрываем его. Щелкаем правым кликом опять по корню и выбираем Сменить контроллер домена Active Directory.
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-23
Вылезет окно с сообщением Оснастка схемы AD не подключена к хозяину операций схемы. Выполнение изменений невозможно. Изменения схемы могут быть сделаны только в схеме владельца FSMO.
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-24
Снова выбираем хозяина схемы и видим, что теперь сменить дает.
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-25
Да.
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-26
передана успешно.
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-27
Посмотрим кто хозяин ролей, делается это с помощью команды в командной строке:
netdom query fsmo
и видим уже 4 роли у dc3
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-28
Очистка метаданных сервера с помощью Active Directory пользователей и компьютеровClean up server metadata using Active Directory Users and Computers
- Откройте оснастку Пользователи и компьютеры Active Directory.Open Active Directory Users and Computers.
- Если вы определили партнеров репликации при подготовке к этой процедуре и не подключены к партнеру репликации удаленного контроллера домена, чьи метаданные будут удалены, щелкните правой кнопкой мыши узел Active Directory пользователи и компьютеры . , а затем выберите пункт изменить контроллер домена.If you have identified replication partners in preparation for this procedure and if you are not connected to a replication partner of the removed domain controller whose metadata you are cleaning up, right-click Active Directory Users and Computers node, and then click Change Domain Controller. Щелкните имя контроллера домена, из которого необходимо удалить метаданные, а затем нажмите кнопку ОК.Click the name of the domain controller from which you want to remove the metadata, and then click OK.
- Разверните домен контроллера домена, который был принудительно удален, и выберите пункт контроллеры домена.Expand the domain of the domain controller that was forcibly removed, and then click Domain Controllers.
- В области сведений щелкните правой кнопкой мыши объект компьютера контроллера домена, метаданные которого необходимо очистить, и выберите команду Удалить.In the details pane, right-click the computer object of the domain controller whose metadata you want to clean up, and then click Delete.
- В диалоговом окне домен Active Directory службы убедитесь, что отображается имя контроллера домена, который вы хотите удалить, и нажмите кнопку Да , чтобы подтвердить удаление объекта компьютера.In the Active Directory Domain Services dialog box, confirm the name of the domain controller you wish to delete is shown, and click Yes to confirm the computer object deletion.
- В диалоговом окне Удаление контроллера домена выберите этот контроллер домена постоянно в автономном режиме, и его нельзя будет понизить с помощью мастер установки доменных служб Active Directory (Dcpromo) , а затем нажать кнопку Удалить.In the Deleting Domain Controller dialog box, select This Domain Controller is permanently offline and can no longer be demoted using the Active Directory Domain Services Installation Wizard (DCPROMO), and then click Delete.
- Если контроллер домена является сервером глобального каталога, в диалоговом окне Удаление контроллера домена нажмите кнопку Да , чтобы продолжить удаление.If the domain controller is a global catalog server, in the Delete Domain Controller dialog box, click Yes to continue with the deletion.
- Если контроллер домена в настоящее время содержит одну или несколько ролей хозяина операций, нажмите кнопку ОК , чтобы переместить роль или роли на отображаемый контроллер домена.If the domain controller currently holds one or more operations master roles, click OK to move the role or roles to the domain controller that is shown. Этот контроллер домена нельзя изменить.You cannot change this domain controller. Если вы хотите переместить роль на другой контроллер домена, необходимо переместить роль после завершения процедуры очистки метаданных сервера.If you want to move the role to a different domain controller, you must move the role after you complete the server metadata cleanup procedure.
Очистка метаданных сервера с помощью командной строкиClean up server metadata using the command line
В качестве альтернативы можно очищать метаданные с помощью программы Ntdsutil. exe, программы командной строки, устанавливаемой автоматически на всех контроллерах домена и серверах, на которых установлены службы Active Directory облегченного доступа к каталогам (AD LDS).As an alternative, you can clean up metadata by using Ntdsutil.exe, a command-line tool that is installed automatically on all domain controllers and servers that have Active Directory Lightweight Directory Services (AD LDS) installed. Ntdsutil. exe также доступен на компьютерах с установленным RSAT.Ntdsutil.exe is also available on computers that have RSAT installed.
Удаление и переназначение исходного сервераRemove and repurpose the Source Server
Выключите исходный сервер и отключите его от сети.Turn off the Source Server and disconnect it from the network. Рекомендуется хотя бы одну неделю не выполнять переформатирование исходного сервера, чтобы убедиться, что все необходимые данные перенесены на конечный сервер.We recommend that you do not reformat the Source Server for at least one week to ensure that all the necessary data migrated to the Destination Server. После подтверждения переноса всех данных можно переустановить этот сервер в сети в качестве дополнительного сервера для других задач.After you have verified that all the data has migrated, you can reinstall this server on the network as a secondary server for other tasks, if required.
Примечание
Перезапустите конечный сервер после понижения уровня и удаления исходного сервера.After you demote and remove the Source Server, restart the Destination Server.
После понижения уровня исходного сервера он находится в неработоспособном состоянии.After you demote the Source Server, it is not in a healthy state. Если требуется перепрофилировать исходный сервер, проще всего отформатировать его, установить серверную операционную систему и затем настроить для использования в качестве дополнительного сервера.If you want to repurpose the Source Server, the simplest way is to reformat it, install a server operating system, and then set it up for use as an additional server.
Под удалением контроллера домена фактически понимается понижение его до роли обычного сервера. Порой бывает необходимо удалить один или несколько контроллеров из домена или переместить их в другой домен. Нельзя просто вывести контроллер из состава домена, поскольку информация о нем останется в каталоге
Соответственно, этот контроллер домена будет приниматься во внимание при формировании топологии репликации, выполнении аутентификации пользователей и т. п
Перед выполнением операции понижения контроллера домена необходимо убедиться в том, что контроллер не является сервером глобального каталога или исполнителем специализированных ролей. В последнем случае перед понижением контроллера домена администратор должен передать эти роли другим контроллерам. Необходимо, чтобы после понижения контроллера в домене оставался хотя бы один сервер глобального каталога.
Понижение контроллера, являющегося последним в домене, приводит к удалению домена. Операция удаления домена не может быть осуществлена (соответственно, будет прервана операция понижения последнего контроллера домена), если домен имеет дочерние домены. Запрещается также понижать контроллеры домена, являющиеся последними носителями реплик разделов приложений. Перед выполнением операции понижения администратор должен вручную удалить разделы приложений с помощью утилиты Ntdsutil.exe.
Для выполнения операции понижения необходимо, чтобы контроллер домена был работоспособным. Также должны быть доступны другие контроллеры домена. Это позволит выполнить изменения в каталоге, информирующие об удалении контроллера домена. Операция понижения контроллера домена выполняется мастером установки Active Directory (утилита Dcpromo).
В процессе понижения роли компьютера мастер установки проверит копию каталога понижаемого контроллера домена на предмет наличия реплик разделов приложений. Если будут обнаружены реплики, являющиеся последними, мастер выдаст соответствующее предупреждение (рис. 19.7). В этом случае мастер в следующем окне потребует подтвердить готовность администратора удалить эту реплику.
Рис. 19.7. На понижаемом контроллере домена обнаружены последние реплики разделов приложений
Удаление последней реплики раздела приложения приводит к потере всех хранящихся в ней данных. Как следствие это может привести к отказу или неверной работе приложений.
На заключительном этапе администратор должен будет предоставить информацию о пароле, который будет сопоставлен учетной записи локального администратора. Эта учетная запись будет создана мастером по окончании процедуры удаления компонентов службы каталога.
Удаление объектов CA из Active Directory
При установке центра сертификации в структуре Active Directory создается ряд служебных объектов CA, которые не удаляются при удалении роли ADCS. Удаляется только объект pKIEnrollmentService, благодаря чему клиенты не пытаются запрашивать новые сертификат у выведенного из эксплуатации CA.
Выведем список доступных центров сертификации (он пуст):
certutil
Откроем консоль Active Directory Site and Services и включим отображение сервисных веток, выбрав в верхнем меню пункт View ->Show Services Node.
Затем последовательно удалим следующие объекты AD:
- Центр сертификации в разделе Services -> Public Key Services -> AIA.
- Контейнер с именем сервера CA в разделе Services -> Public Key Services -> CDP.
- CA в разделе Services > Public Key Services > Certification Authorities.
- Проверьте, что в разделе Services -> Public Key Services -> Enrollment Services отсутствует объект pKIEnrollmentService (он должен удалиться во время процесса деинсталляции CA). Если он присутствует, удалите его вручную.
- Удалите шаблоны сертификатов, расположенные в разделе Services -> Public Key Services > Certificate Templates (выбелить все шаблоны CTRL+A).
| Удаление учетной записи компьютера с помощью средств интерфейса Windows |
-
Чтобы открыть оснастку «Active Directory — пользователи и компьютеры», нажмите кнопку Пуск, выберите Панель управления, дважды щелкните Администрирование, а затем дважды щелкните Active Directory — пользователи и компьютеры.
-
В дереве консоли щелкните пункт Компьютеры.
Местонахождение
Active Directory — пользователи и компьютерыdomain nodeКомпьютеры
Или щелкните папку, которая содержит нужный компьютер.
-
В области сведений щелкните правой кнопкой мыши компьютер, а затем выберите команду Удалить.
Дополнительная информация
- Для выполнения этой процедуры необходимо быть членом группы «Операторы учета», «Администраторы домена» или «Администраторы предприятия» в доменных службах Active Directory либо должны быть делегированы соответствующие полномочия. По соображениям безопасности для выполнения этой процедуры рекомендуется использовать команду Запуск от имени.
- Чтобы открыть оснастку «Active Directory — пользователи и компьютеры» другим способом, нажмите кнопку Пуск, выберите пункт Выполнить, а затем введите dsa.msc.
- Учетную запись компьютера также можно удалить, исключив компьютер из домена.
- Если удалить учетную запись компьютера, все связанные с ней разрешения и членства удаляются без возможности восстановления. Поскольку каждая учетная запись имеет уникальный идентификатор безопасности (SID), при создании новой учетной записи компьютера с таким же именем, как и у ранее удаленной учетной записи, новая запись не наследует те же разрешения и членства. Чтобы дублировать удаленную учетную запись компьютера, необходимо вручную заново создать все разрешения и членства.
- Задачу этой процедуры можно также выполнить, используя Модуль Active Directory для Windows PowerShell. Чтобы открыть Модуль Active Directory, нажмите кнопку Пуск и последовательно выберите пункты Администрирование и Модуль Active Directory для Windows PowerShell. Дополнительные сведения см. в статье «Удаление учетной записи компьютера» (страница может быть на английском языке) (https://go.microsoft.com/fwlink/?LinkId=138386). Дополнительные сведения о Windows PowerShell см. в статье о Windows PowerShell (страница может быть на английском языке) (https://go.microsoft.com/fwlink/?LinkId=102372).
| Удаление учетной записи компьютера с помощью командной строки |
-
Чтобы открыть командную строку, нажмите кнопку Пуск, выберите пункт Выполнить, введите cmd, а затем нажмите кнопку ОК.
-
Введите указанную ниже команду и нажмите клавишу ВВОД.
dsrm computer
| Параметр | Описание |
|---|---|
|
Задает различающееся имя удаляемого компьютера. Различающееся имя указывает местоположение каталога. |
Для просмотра полного синтаксиса данной команды и сведений о вводе в командную строку информации учетной записи пользователя введите следующую команду, а затем нажмите клавишу ВВОД.
dsrm computer /?
Дополнительная информация
- Для выполнения этой процедуры необходимо быть членом группы «Операторы учета», «Администраторы домена» или «Администраторы предприятия» в доменных службах Active Directory либо должны быть делегированы соответствующие полномочия. По соображениям безопасности для выполнения этой процедуры рекомендуется использовать команду Запуск от имени.
- Учетную запись компьютера также можно удалить, исключив компьютер из домена.
- Если удалить учетную запись компьютера, все связанные с ней разрешения и членства удаляются без возможности восстановления. Поскольку каждая учетная запись имеет уникальный SID, при создании новой учетной записи компьютера с таким же именем, как и у ранее удаленной учетной записи, новая запись не наследует те же разрешения и членства. Чтобы дублировать удаленную учетную запись компьютера, необходимо вручную заново создать все разрешения и членства.
- Задачу этой процедуры можно также выполнить, используя Модуль Active Directory для Windows PowerShell. Чтобы открыть Модуль Active Directory, нажмите кнопку Пуск и последовательно выберите пункты Администрирование и Модуль Active Directory для Windows PowerShell. Дополнительные сведения см. в статье «Удаление учетной записи компьютера» (страница может быть на английском языке) (https://go.microsoft.com/fwlink/?LinkId=138386). Дополнительные сведения о Windows PowerShell см. в статье о Windows PowerShell (страница может быть на английском языке) (https://go.microsoft.com/fwlink/?LinkId=102372).
Очистка метаданных сервера с помощью программы NtdsutilTo clean up server metadata by using Ntdsutil
-
Откройте командную строку от имени администратора: В меню Пуск щелкните правой кнопкой мыши пункт Командная строкаи выберите команду Запуск от имени администратора.Open a command prompt as an administrator: On the Start menu, right-click Command Prompt, and then click Run as administrator. Если откроется диалоговое окно контроль учетных записей пользователей , укажите учетные данные администратора предприятия, если это необходимо, а затем нажмите кнопку продолжить.If the User Account Control dialog box appears, provide credentials of an Enterprise Administrator if required, and then click Continue.
-
В командной строке введите следующую команду и нажмите клавишу ВВОД:At the command prompt, type the following command, and then press ENTER:
-
В командной строке введите следующую ниже команду, а затем нажмите клавишу ВВОД.At the prompt, type the following command, and then press ENTER:
-
В командной строке введите следующую ниже команду, а затем нажмите клавишу ВВОД.At the prompt, type the following command, and then press ENTER:
-
В диалоговом окне Конфигурация удаления серверапросмотрите сведения и предупреждение, а затем нажмите кнопку Да , чтобы удалить объект сервера и метаданные.In Server Remove Configuration Dialog, review the information and warning, and then click Yes to remove the server object and metadata.
На этом этапе программа Ntdsutil подтверждает, что контроллер домена был успешно удален.At this point, Ntdsutil confirms that the domain controller was removed successfully. Если появится сообщение об ошибке, указывающее, что объект не найден, возможно, контроллер домена был удален ранее.If you receive an error message that indicates that the object cannot be found, the domain controller might have been removed earlier.
-
В приглашении введитеи нажмите клавишу ВВОД. At the and prompts, type , and then press ENTER.
-
Чтобы подтвердить удаление контроллера домена, выполните следующие действия.To confirm removal of the domain controller:
Откройте Active Directory пользователи и компьютеры.Open Active Directory Users and Computers. В домене удаленного контроллера домена щелкните контроллеры домена.In the domain of the removed domain controller, click Domain Controllers. В области сведений не должен отображаться объект для удаляемого контроллера домена.In the details pane, an object for the domain controller that you removed should not appear.
Откройте Active Directory сайты и службы.Open Active Directory Sites and Services. Перейдите к контейнеру серверы и убедитесь, что объект сервера для контроллера домена, который вы удалили, не содержит объект параметров NTDS.Navigate to the Servers container and confirm that the server object for the domain controller that you removed does not contain an NTDS Settings object. Если под объектом сервера не отображаются дочерние объекты, можно удалить объект сервера.If no child objects appear below the server object, you can delete the server object. Если отображается дочерний объект, не удаляйте серверный объект, так как этот объект используется другим приложением.If a child object appears, do not delete the server object because another application is using the object.
Схема сети с неработающим контроллером в AD
У меня есть инфраструктура Active Directory, есть домен msk.pyatilistnik.org и три контроллера: dc6, dc7, dc10. Последний как раз вышел из строя и находится вообще в другом сайте и его необходимо удалить, давайте я покажу как это правильно делать, так как просто нет возможности воспользоваться стандартной утилитой dcpromo,
dc10 будет удален, но перед этим, нам нужно удостовериться, что все FSMO роли у нас будут доступны на работающих контроллерах домена. Узнать держателя FSMO ролей можно командой:
netdom query fsmo
Как видите в моем случае первые две роли схемы и именования доменов, находятся на корневом контроллере домена в другом домене, а вот нужные мне три роли, располагаются на неисправном DC, до которого я не могу достучаться, в таком случае нам необходимо будет захватить с него все роли и передать их работающим контроллерам домена, после чего удалить о нем всю информацию в Active Directory.
Теперь, когда все роли захвачены или переданы, то можно производить удаление всех старых данных.
Если у вас уровень леса и домена Windows Server 2008 R2 и выше, то самый простой способ это удалить, объект компьютера из контейнера Domain Controllers, все старые метаданные будут удалены автоматически и вам не придется делать описанные ниже манипуляции. Но я хочу вам показать ручной способ, чтобы вы более глубоко понимали, что именно происходит и откуда удаляются данные о недоступном контроллере домена
Очистка метаданных сервера с помощью Active Directory сайтов и службClean up server metadata using Active Directory Sites and Services
- Откройте компонент «Active Directory — сайты и службы».Open Active Directory Sites and Services.
- Если вы определили партнеров репликации в процессе подготовки к этой процедуре и если вы не подключены к партнеру репликации удаленного контроллера домена, чьи метаданные удаляются, щелкните правой кнопкой мыши Active Directory сайты и службы, а затем затем щелкните изменить контроллер домена.If you have identified replication partners in preparation for this procedure and if you are not connected to a replication partner of the removed domain controller whose metadata you are cleaning up, right-click Active Directory Sites and Services, and then click Change Domain Controller. Щелкните имя контроллера домена, из которого необходимо удалить метаданные, а затем нажмите кнопку ОК.Click the name of the domain controller from which you want to remove the metadata, and then click OK.
- Разверните узел контроллера домена, который был принудительно удален, разверните узел серверы, разверните имя контроллера домена, щелкните правой кнопкой мыши объект Параметры NTDS и выберите команду Удалить.Expand the site of the domain controller that was forcibly removed, expand Servers, expand the name of the domain controller, right-click the NTDS Settings object, and then click Delete.
- В диалоговом окне Active Directory сайты и службы нажмите кнопку Да , чтобы подтвердить удаление параметров NTDS.In the Active Directory Sites and Services dialog box, click Yes to confirm the NTDS Settings deletion.
- В диалоговом окне Удаление контроллера домена выберите этот контроллер домена постоянно в автономном режиме, и его нельзя будет понизить с помощью мастер установки доменных служб Active Directory (Dcpromo) , а затем нажать кнопку Удалить.In the Deleting Domain Controller dialog box, select This Domain Controller is permanently offline and can no longer be demoted using the Active Directory Domain Services Installation Wizard (DCPROMO), and then click Delete.
- Если контроллер домена является сервером глобального каталога, в диалоговом окне Удаление контроллера домена нажмите кнопку Да , чтобы продолжить удаление.If the domain controller is a global catalog server, in the Delete Domain Controller dialog box, click Yes to continue with the deletion.
- Если контроллер домена в настоящее время содержит одну или несколько ролей хозяина операций, нажмите кнопку ОК , чтобы переместить роль или роли на отображаемый контроллер домена.If the domain controller currently holds one or more operations master roles, click OK to move the role or roles to the domain controller that is shown.
- Щелкните правой кнопкой мыши контроллер домена, который был принудительно удален, и выберите команду Удалить.Right-click the domain controller that was forcibly removed, and then click Delete.
- В диалоговом окне домен Active Directory службы нажмите кнопку Да , чтобы подтвердить удаление контроллера домена.In the Active Directory Domain Services dialog box, click Yes to confirm the domain controller deletion.
Установка контроллера домена Windows Server 2019 с помощью Powershell
Для начала я приведу вам пример работы скрипта PowerShell, который буквально за несколько минут установит доменные службы Active Directory, вам в нем лишь нужно будет вбить свои данные.
# Импорт модуля ServerManager Import-Module ServerManager # Установка роли AD DS со всеми зависимыми компонентами Add-WindowsFeature –Name AD-Domain-Services –IncludeAllSubFeature –IncludeManagementTools # Импорт модуля ADDSDeployment Import-Module ADDSDeployment # Установка нового леса Install-ADDSForest ` # Не включать делегирование -CreateDnsDelegation:$false ` # Путь к базе данных AD -DatabasePath «C:WindowsNTDS» ` # Режим работы домена -DomainMode «WinThreshold» ` # Задаем имя домена -DomainName «partner.pyatilistnik.info» ` # Задаем короткое NetBIOS имя -DomainNetbiosName «PARTNER» ` # Задаем режим работы леса -ForestMode «WinThreshold» ` # Указываем, что будем устанавливать DNS-сервер -InstallDns:$true ` # Задаем путь к NTDS -LogPath «C:WindowsNTDS» ` # Если требуется перезагрузка, то перезагружаемся -NoRebootOnCompletion:$false ` # Задаем путь до папки SYSVOL -SysvolPath «C:WindowsSYSVOL» ` -Force:$true
Скачать скрипт установки доменных служб Active Directory
Когда вы в скрипте подставите все свои данные, то запускаете его. У вас начнется сбор данных и установка AD DS.
Единственное, что у вас будет запрошено, так это задание пароля восстановления SafeModeAdministratorPassword, указываем его дважды, с точки зрения безопасности он должен быть отличный от пароля для доменного администратора.
Предварительная проверка.
Создание нового леса Active Directory. Далее последует перезагрузка. Не забываем поправить сетевой интерфейс и DNS на нем.
- Обычно операцию вывода из домена (Unjoin Windows) производят в ситуациях, когда компьютер может вылетать из домена, пример он не был активен более одного месяца, был банальный ремонт, а потом его решили ввести в эксплуатацию, в таких ситуациях люди ловят ошибку «отсутствуют серверы, которые могли бы обработать запрос».
- Просто для правильного соблюдения рекомендаций Microsoft, чтобы у вас не оставались лишние, ненужные объекты в AD, в противном случае, вам придется производить самостоятельный поиск неактивных компьютеров в Active Directory и вычищать все вручную.
- Третья причина, это переустановка сервера, например, обновление редакции, и если до этого вы правильно не вывели компьютер из домена, то при попытке ввести в домен Windows Server вы получите ошибку, что такой компьютер уже есть.
Как понизить контроллер домена?
У меня есть несколько контроллеров домена, один из них мне надо понизить до роли рядового сервера, как это сделать?
Для того чтобы превратить контроллер домена в рядовой сервер, также используется утилита DCPromo, т. е. мастер установки Active Directory.
Процесс понижения роли контроллера домена имеет ряд особенностей, связанных с количеством контроллеров в домене (доменах) и их функциями.
Если понижается контроллер домена, являющийся сервером глобального каталога, то будет выдано предупреждение. Его можно проигнорировать в двух случаях:
- если контроллер домена — единственный и уничтожается вся доменная структура;
- если в лесе имеются другие контроллеры, выполняющие эту функцию.
В противном случае нужно назначить сервером глобального каталога другой контроллер домена и выполнить репликацию, после чего можно снова запускать мастер установки Active Directory.
Кроме того, мастеру установки Active Directory необходимо указать, является ли контролер домена последним в домене.
Если флажок Этот сервер — последний контроллер домена в данном домене
(This server is the last domain controller in the domain) остается сброшенным (т. е. контроллер домена становится рядовым сервером), то в следующем окне нужно указать и подтвердить пароль администратора на выбранном компьютере. Если же флажок установить (т. е. контроллер домена становится изолированным сервером, и домен полностью уничтожается), то в следующем окне нужно указать имя пользователя с правами администратора предприятия для этого леса, пароль и имя домена, а затем — пароль, назначаемый администратору компьютера.
Выводится окно сводки, в котором можно проверить правильность выполняемых действий. После нажатия кнопки Далее начинается сам процесс понижения роли сервера. После появления сообщения об удалении Active Directory с компьютера нужно перёзагрузиться.
Консультации по настройке и администрированию Вашей компьютерной сети.