Удаление контроллера домена (исправного и неисправного)

Исправный AD DC сервер

Если вы выполняете плановое удаление (декомиссию) одного из существующих контроллеров домена AD (обычного DC или RODC), то прежде чем понизить контроллер домена до рядового Windows Server и удалить роль ADDS, нужно выполнить ряд подготовительных шагов.

• Проверьте состояние вашего контроллера домена, Active Directory и репликации. На сайте есть отдельная статья с описанием команд диагностики здоровья контроллера домена и репликации в AD с помощью dcdiag , repadmin и скриптов PowerShell. Исправьте найденные проблемы. Для вывода списка ошибок на конкретном контроллере домена выполните команду: dcdiag.exe /s:dc01 /q
• Убедитесь, что на контроллере домена не запущены FSMO роли AD: netdom query fsmo

• Если нужно, перенесите роли FSMO на другой DC;
• Убедитесь, что на DC не запущена роль DHCP сервера. Если запущена, мигрируйте ее на другой сервер;
• Измените настройки DNS для DHCP областей, которые выдаются клиентам IP адреса. Перенастройте DHCP клиентов на другой DNS сервер (дождитесь окончания времени аренды IP адресов, чтобы все клиенты получили новые настройки DNS). Вы можете вывести список DNS серверов, заданных для всех зон (DNS Servers Option 006) на определенном сервере с помощью следующей команды PowerShell (подробнее об управлении DHCP в Windows Server с помощью PowerShell): Get-DhcpServerv4Scope -ComputerName dhcp01.example.com| Get-DhcpServerv4OptionValue | Where-Object {$_.OptionID -like 6} | FT Value
• Некоторые клиенты могут быть настроены на использование DNS сервера на DC вручную (сетевые устройства, сервера, принтеры, сканеры и т.д.). Вам нужно найти такие устройства и перенастроить их на другой DNS сервер. Найти такие устройства проще всего по журналу DNS-сервера: включите Debug Logging в свойствах DNS (вкладка Debug Logging → Log packets for debugging) и посмотрите, кто обращается к серверу за именами;
• Если на контроллере домена запущен центр сертификации (роль Certificate Authority), нужно мигрировать его на другой сервер;
• Если на контроллере домена запущены другие службы (например, KMS сервер, RADIUS/NPS, WSUS и т.д.), решите нужно ли переносить их на другие сервера;
• Воспользуйтесь командлетом Test-ADDSDomainControllerUninstallation , чтобы проверить оставшиеся зависимости и проблемы, с которыми вы можете столкнуться при удалении DC. Если командлет вернет статус Success , можете продолжить.

Когда подготовка закончена, контроллер понижают до рядового сервера. Раньше для этого запускали dcpromo; начиная с Windows Server 2012 утилита объявлена устаревшей, и понижение выполняется через мастер удаления ролей.

В Server Manager откройте Manage → Remove Roles and Features и снимите галку Active Directory Domain Services в разделе Server Roles.

Нажмите на кнопку Demote this domain controller.

Должно открыться окно Active Directory Domain Services Configuration Wizard. Опция Force the removal of this domain controller нужна только в случае, когда контроллер не может связаться с остальными DC и корректно передать им изменения. При плановом выводе исправного контроллера её включать не нужно.

В следующем окне отметьте опцию Proceed with removal.

Затем задайте пароль учетной записи локального администратора сервера.

На последнем этапе останется нажать кнопку Demote.

Дождитесь окончания понижения контроллера домена. Должна появится надпись Successfully demoted the Active Directory Domain Controller.

Перезагрузите сервер, еще раз запустите Server Manager для удаления роли Active Directory Domain Services.

При удалении роли ADDS по умолчанию будут удалены следующие компоненты:

• Модуль Active Directory Module for Windows PowerShell
• AD DS and AD LDS Tools feature
• Active Directory Administrative Center
• AD DS Snap-ins and Command-line Tools
• DNS Server
• Консоль Group Policy Management Console ( gpmc.msc )

Запустите консоль Active Directory Users and Computers (dsa.msc) и убедитесь, что учетная запись контроллера домена была удалена из OU Domain Controllers.

То же самое делается из PowerShell командлетом Uninstall-ADDSDomainController: он запросит новый пароль локального администратора и подтверждение понижения.

После перезагрузки останется с помощью PowerShell удалить роль ADDS:

Uninstall-WindowsFeature AD-Domain-Services -IncludeManagementTools

Теперь запустите консоль Active Directory Sites and Services ( dssite.msc ), найдите сайт контроллера домена и его учетную запись в разделе Servers. Разверните DC, щелкните ПКМ по NTDS Settings и выберите Delete.

Подтвердите удаление DC, отметив опцию Delete This Domain controller anyway. It is permanently offline and ac no longer be removed using the removal wizard.

Затем удалите учетную запись сервера.

Дождитесь окончания репликации в AD и проверьте состояние домена с помощью dcdiag и repadmin (как описано выше).

Неисправный AD DC сервер

Если ваш контроллер домена вышел из строя (физический сервер или файлы виртуального DC на хранилище) и вы не планируете восстанавливать DC его из созданной ранее резервной копии контроллера домена, можно удалить его принудительно.

Удаленный таким образом контроллер домена ни в коем случае нельзя включать в сеть.

До Windows Server 2008 R2 для удаления неисправного контроллера домена и очистки его метаданных в AD использовалась консольная утилита ntdsutil. В современных версиях Windows Server 2022/2019/2016/2012 вы можете удалить вышедший из строя DC и корректно очистить метаданные с помощью графических mmc оснасток управления AD.

Откройте консоль ADUC ( dsa.msc ) и перейдите в контейнер Domain Controllers. Найдите учетную запись вашего DC и удалите ее.

Появится окно с подтверждением удаления DC. Включите опцию Delete this Domain Controller anyway. И нажмите кнопку Delete.

Active Directory автоматически очистит метаданные об удаленном DC из базы ntds.dit.

Теперь нужно удалить контроллер домена в консоли AD Sites and Services как описано выше.

И последний шаг – удаление записей о контроллере домена в DNS. Откройте консоль DNS Manager ( dnsmgmt.msc ).

Удалите сервер из списка Name Servers в настройках зоны.

Удалите статические записи Name Servers (NS), оставшиеся от удаленного DC в вашей DNS зоне и разделах _msdcs , _sites , _tcp , _udp , и PTR записи в обратной зоне.

Или воспользуйтесь PowerShell для поиска и удаления записей в DNS.