強制刪除多余的域控制器

1、強制刪除多余的域控制器很多企業(yè)都碰到過這樣的問題：AD域中的某臺域控制器由于軟件或硬件問題而癱瘓，無法啟動。這時，如果想重新安裝這臺服務(wù)器，就需要先將它從域中刪除。但是，由于該服務(wù)器已經(jīng)不能啟動，所以無法使用Dcromo進行刪除。如果簡單地從“AD用戶和計算機”中刪除該域控制器的話，它的信息依然會保留在AD數(shù)據(jù)庫中，客戶機和其他域控制器仍然會頻繁訪問這臺已不存在的域控制器，這會給AD的功能和性能帶來很大影響。本文針對這種問題提出了一套完整的解決方案，在利用Ntdsutil工具強制刪除或控制器的同時，保證了整個AD域的功能不受到任何影響。例如，企業(yè)AD中的一臺WindowsServer2003域

2、控制器（DC1,由于硬件問題而癱瘓，無法啟動。企業(yè)希望將DC1從域中刪除。在強制刪除DC1前，我們需要提前考慮以下問題：1 .如果刪除的DCM企業(yè)當前的一臺和AD集成的DNSI艮務(wù)器，要考慮是否需要將DNSI艮務(wù)器，要考慮是否需要將DNS己錄遷移到其他DNSI艮務(wù)器上。如果進行了遷移，則需要更新所有成員工作站、成員服務(wù)器以及其他可能使用過這臺DNSI艮務(wù)器進行名稱解析的DC上的DNSg戶端配置。2 .如果刪除的域控制器是一臺全局編錄服務(wù)器，要考慮是否全局編錄遷移到其他DC上。3 .如果刪除的DC曾經(jīng)擔任FlexibleSingleMasterOperation(FSMO兩色，要將這些角色重新分

3、配給一臺活動的DG經(jīng)過系統(tǒng)分析，發(fā)現(xiàn)系統(tǒng)當前狀況如下：1. 除當前癱瘓的域控制器DC1以外，域中還存在另一臺域控制器BAKSRV2. DC1擔任著域中的所有五個FSMO1色。3. DC1是域中的惟一的一臺全局編錄服務(wù)器。4. DC1是域中的惟一的一臺DNSI艮務(wù)器，擁有“和AD集成的DNS區(qū)域”.5. BAKSR貿(mào)當著企業(yè)的DHCP艮務(wù)器，客戶端的IP地址、網(wǎng)關(guān)、DNSS艮務(wù)器設(shè)置均由BAKSRVb發(fā)。對系統(tǒng)進行分析評估之后，在刪除DC1之前，必須使BAKSRVI負起DC1以前所擔負的所有角色，否則將會造成用戶無法登錄域，網(wǎng)絡(luò)資源不可訪問等多個嚴重問題。根據(jù)以往經(jīng)驗，整個災(zāi)難恢復過程應(yīng)該包括：

4、重建全局編錄、重建DNSI艮務(wù)器、搶占FSMO1色、刪除DC1以及重新配置DHC進行地址分發(fā)五個主要步驟。重建全局編錄全局編錄是存儲林中所有ActiveDirectory對象副本的域控制器，全局編錄中包含的所有域?qū)ο蟮牟糠指北臼怯脩羲阉鞑僮髦凶畛Ｓ玫牟糠帧Ｔ诹种斜仨毚嬖谝粋€全局編錄服務(wù)器，所以，需要在BAKSRV上重建全局編錄1 .BAKSR止，啟動“ActiveDirectory站點和服務(wù)”管理單元。2 .在控制臺樹中，雙擊“站點”，然后雙擊站點名稱。3 .雙擊“服務(wù)器”，單擊BAKSRV右鍵單擊“FTD毀置”，然后單擊“屬性”。4 .如圖1所示，在“常規(guī)”選項卡上，單擊“全局編錄”復選框，

5、將其選中，將全局編錄角色分配給該服務(wù)器。5 .等待一段時間后，在運行上運行Netstat-an|find“3268”以及Netstatan|find“3269”查看3268、3269端口是否打開。如果這兩個端口打開，說明BAKSRV的全局編錄在工作。我們也可以查看注冊表HKELOCAL-MACHINESYSTEMCurrentContro1SetServicesNTDSParametersGlobalCatalogPromotionComplete鍵值是否為1。如果是1的話，也說明BAKSRV上的全局編錄在正常工作了。重建DNSI務(wù)器DNS是訪問A陵據(jù)庫和服務(wù)的基礎(chǔ)，所以必須在BAKSRV1重

6、建“和AD集成的DNSOTC,使其成為新的DNSI艮務(wù)器。1 .在BAKSRV1安裝DNSI務(wù)。2 .將BAKSRVJ絡(luò)設(shè)置中的DNSI艮務(wù)器設(shè)定為BAKSR冰身。3 .打開BAKSR止的DNSJ建“和AD1成的DNSS域",并重新加載該區(qū)域。4 .在區(qū)域中刪除區(qū)域msdcs區(qū)域。HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNTDSParametersGlobalCatalogPromotionComplete鍵值是否為1。如果是1的話，也說明BAKSRV1的全局編錄在正常工作了。5 .創(chuàng)建“和AD集成的DNSK域”_,并重新加載

7、該區(qū)域。6 .在區(qū)域中新建委派區(qū)域，委派的域為_,名稱服務(wù)器為BAKSRV7 .等待一段時間，查看DNSK域中的所有記錄是否都成功恢復。搶占FSMO!色由于DC1已經(jīng)癱瘓無法通信，所以我們不可能將FSMO!色正常地從DC1上轉(zhuǎn)移到BAKSRV1,必須弓5行搶占FSMO1色。這里我們需要使用Ntdsutil實用工具捕獲FSMO1色。1 .登錄到BAKSRV,單擊“開始運行”，在“打開”框中鍵入ntdsutil,然后單擊“確定”。2 .鍵入roles,然后按Enter。3 .鍵入connections,然后按Enter。4 .鍵入connecttoserverBAKSRV,然后按Enter。5 .

8、在“serverconnections”提示符處，鍵入q,然后按Enter。6 .鍵入seizerole,其中role是您要捕獲的角色。例如，要捕獲RID主機角色，可鍵入seizeridmasteroPDC莫擬器角色的捕獲是一個例外，它的語法是seizepdc而非seizepdcemulator。7 .在“fsmomaintenance”提示符入，鍵入q,然后按Enter,以進入“ntdsutil”提示符。鍵入q,然后按Enter,退出Ntdsutil實用工具。角色搶占完之后，可以利用Windows2003支持工具包中的Netdom工具，來查看FSMOI色是否搶占成功，命令為：Netdomqu

9、eryfsmo/domain:。如果搶占成功，顯示結(jié)果應(yīng)如圖2所示。刪除域控制器在完成上面的一系列工作之后，我們就可以利用Ntdsutil實用工具來從AD數(shù)據(jù)庫中刪除DC1的數(shù)據(jù)。主要步驟如下：1 .在命令提示符處，鍵入ntdsutil然后按Enter鍵。2 .鍵入metadatacleanup,然后按Enter鍵。3 .鍵入connections,然后按Enter鍵。4 .鍵入connecttoserverBAKSRV,然后按Enter鍵。出現(xiàn)一條確認消息，說明已成功建立該連接。5 .鍵入quit,然后按Enter鍵。6 .鍵入selectoperationtarget,然后按Enter鍵。

10、7 .鍵入listdomains,然后按Enter鍵。將顯示一個列出目錄林中所有域的列表，每一個域都有一個關(guān)聯(lián)的編號。這里因為只有一個域,所以只有一個編號0。8 .鍵入selectdomainnumber,然后按Enter鍵。其中number是要刪除服務(wù)器所在域的編號，這里number為0。出現(xiàn)一條確認消然后按Enter鍵。將顯示一個站點列表,息，其中列出了所選的域9 .鍵入listsites,每個站點都有一個關(guān)聯(lián)的編號。因為只有一個站點Default-First-site-Name,所以只有一個編號0。10 .鍵入selectsitenumber,然后按Enter鍵。其中number是要刪除

11、服務(wù)器所在站點的編號。這里number為0。將出現(xiàn)一條確認消息，其中列出了所選的站點和域。11 .鍵入listserversinsite,然后按Enter鍵。將顯示一個列出站點中所有服務(wù)器的列表，每個服務(wù)器都有一個關(guān)聯(lián)的編號。在這里DC1編號為0,BAKSR編號為1。12 .鍵入selectservernumber,其中number是與要刪除的服務(wù)器即DC1的編號，所以number為0。然后，將出現(xiàn)一條確認消息，其中列出所選的服務(wù)器、該服務(wù)器的DNSg,以及服務(wù)器的計算機賬戶的位置。13 .鍵入quit,然后按Enter鍵。14 .鍵入removeselectedserver,然后按Enter鍵。將出現(xiàn)一條確認消息，說明刪除成功完成。15 .在每個菜單中鍵入quit,退出Ntdsutil實用工具。當利用Ntdsutil實和工具成功清除DC1后，我們還需要在“ActiveDirectory用戶和計算機”和“ActiveDirectory站點和服