Удаление неисправного контроллера домена через ntdsutil (metadata cleanup)

Способ применяется, когда контроллер домена вышел из строя и его нельзя корректно понизить (dcpromo/Uninstall-ADDSDomainController). Если DC работает — удаляйте его штатно, см. Удаление контроллера домена. Metadata cleanup удаляет из AD «мёртвый» объект DC; выполнять с рабочего DC под учётной записью Enterprise Admin.

Перед началом

1. Убедиться, что неисправный DC действительно не подлежит восстановлению.
2. Проверить и при необходимости перенести FSMO-роли с умершего DC на живой:

netdom query fsmo
# перенос/захват роли при недоступности старого DC:
Move-ADDirectoryServerOperationMasterRole -Identity DC02 -OperationMasterRole PDCEmulator,RIDMaster,InfrastructureMaster,SchemaMaster,DomainNamingMaster -Force

Способ 1. Автоматическая очистка (современный, рекомендуется)

В Active Directory Users and Computers (dsa.msc) или AD Sites and Services (dssite.msc) удалить объект неисправного DC. Начиная с Windows Server 2008 при удалении система сама предлагает выполнить metadata cleanup — соглашаемся («This Domain Controller is permanently offline…»). В большинстве случаев этого достаточно.

Способ 2. ntdsutil (ручная очистка метаданных)

Если объект не удаляется или домен на старой схеме:

ntdsutil
  metadata cleanup
  connections
    connect to server DC02          (рабочий DC)
    quit
  select operation target
    list domains
    select domain 0
    list sites
    select site 0
    list servers in site
    select server <номер_мёртвого_DC>
    quit
  remove selected server
  quit
quit

На remove selected server появится подтверждение — соглашаемся. ntdsutil удалит объект NTDS Settings и учётную запись сервера из конфигурации AD.

Способ 3. PowerShell (одной командой)

Remove-ADDomainController -Identity "DC02" -ForceRemoval -Confirm:$false

(работает, если объект ещё цел; при повреждении — способ 2).

Обязательная зачистка «хвостов»

После metadata cleanup вручную удалить оставшиеся записи мёртвого DC:

1. AD Users and Computers → OU Domain Controllers — удалить объект компьютера DC.
2. AD Sites and Services → Sites → <сайт> → Servers — удалить сервер.
3. DNS Manager:
   • в зоне домена удалить записи A, а также записи в _msdcs, _sites, _tcp, _udp, указывающие на мёртвый DC;
   • в свойствах зоны на вкладке Name Servers удалить NS-запись умершего DC.
4. Проверить, что роль не «висит» на удалённом сервере: netdom query fsmo.

Проверка результата

dcdiag /q
repadmin /replsummary

Ошибок обращения к удалённому DC быть не должно (см. диагностику DC и репликации).