Tìm kiếm trang web

Cách loại bỏ (Demote) Domain Controller trong Active Directory

Trong bài viết này, chúng tôi sẽ trình bày cách xóa (hạ cấp) chính xác bộ điều khiển miền Active Directory trên Windows Server 2022/2019/2016/2012R2. Khi loại bỏ bộ điều khiển miền, thường một trong các trường hợp sau được sử dụng.

Xóa Active Directory Domain Controller và ADDS Role (Từng bước)

Nếu bạn định ngừng hoạt động một trong các bộ điều khiển miền AD của mình (DC chung hoặc bộ điều khiển miền chỉ đọc - RODC), bạn phải thực hiện một số bước chuẩn bị trước khi hạ cấp bộ điều khiển miền của mình xuống máy chủ thành viên và xóa Dịch vụ Miền Active Directory (ADDS ) vai trò.

  1. Kiểm tra trạng thái của bộ điều khiển miền, Active Directory và bản sao của bạn. Có một bài viết riêng về cách kiểm tra tình trạng và sao chép của bộ điều khiển miền trong AD bằng cách sử dụng

    dcdiag

    ,

    repadmin

    và tập lệnh PowerShell. Khắc phục sự cố nếu tìm thấy. Để hiển thị danh sách lỗi trên bộ điều khiển miền cụ thể, hãy chạy lệnh sau:

    dcdiag.exe /s:mun-dc03 /q

  2. Đảm bảo rằng các vai trò AD FSMO không chạy trên bộ điều khiển miền:

    netdom query fsmo

    Nếu cần, hãy chuyển các vai trò FSMO sang DC khác.

  3. Đảm bảo rằng vai trò máy chủ DHCP không chạy trên bộ điều khiển miền. Nếu có, hãy di chuyển nó sang máy chủ khác;

  4. Thay đổi cài đặt DNS cho phạm vi DHCP đang gán địa chỉ IP cho máy khách. Thay đổi cấu hình của các phạm vi DHCP để chúng chỉ định một địa chỉ máy chủ DNS khác (đợi thời gian thuê IP hết hạn để tất cả các máy khách nhận được cài đặt máy chủ DNS mới). Bạn có thể hiển thị danh sách các máy chủ DNS được đặt cho tất cả các vùng (Tùy chọn máy chủ DNS 006) trên máy chủ bằng lệnh PowerShell sau (tìm hiểu thêm về cách quản lý DHCP trong Windows Server bằng PowerShell):

    Get-DhcpServerv4Scope -ComputerName mun-dhcp.a-d.site| Get-DhcpServerv4OptionValue | Where-Object {$_.OptionID -like 6} | FT Value

  5. Một số máy khách có thể được đặt thủ công để sử dụng máy chủ DNS trên DC (thiết bị mạng, máy chủ, máy in, máy quét, v.v.). Bạn cần tìm những thiết bị như vậy và cấu hình lại chúng thành một máy chủ DNS khác. Việc tìm các thiết bị như vậy truy cập máy chủ DNS của bạn bằng nhật ký của nó sẽ dễ dàng hơn. Đây là một bài viết chi tiết: Cách kiểm tra các truy vấn DNS của máy khách trong Windows Server;

  6. Nếu vai trò Tổ chức phát hành chứng chỉ đang chạy trên bộ điều khiển miền, hãy di chuyển vai trò đó sang máy chủ khác;

  7. Nếu các dịch vụ khác (như máy chủ KMS, Radius/NPS, WSUS, v.v.) đang chạy trên bộ điều khiển miền, hãy quyết định xem bạn có muốn di chuyển chúng sang các máy chủ khác hay không;

  8. Sử dụng

    Test-ADDSDomainControllerUninstallation

    cmdlet để đảm bảo liệu có bất kỳ phụ thuộc hoặc vấn đề nào mà bạn có thể gặp phải khi xóa DC hay không. Nếu lệnh ghép ngắn trả về Thành công, bạn có thể tiếp tục.

Bây giờ bạn đã sẵn sàng hạ cấp bộ điều khiển miền xuống máy chủ thành viên. Trước Windows Server 201, lệnh dcpromo đã được sử dụng cho việc này. Trong các phiên bản Windows Server hiện đại, công cụ này không được dùng nữa và không được khuyến khích sử dụng.

Bạn có thể hạ cấp bộ điều khiển miền của mình bằng cách sử dụng Trình quản lý máy chủ. Mở Trình quản lý máy chủ -> Vai trò và tính năng từ xa -> bỏ chọn Dịch vụ miền Active Directory trong phần Vai trò máy chủ.

Nhấp vào Hạ cấp bộ điều khiển miền này.

Trình hướng dẫn cấu hình dịch vụ miền Active Directory xuất hiện. Tùy chọn Buộc xóa bộ điều khiển miền này được sử dụng để xóa bộ điều khiển miền cuối cùng trong miền. Không sử dụng nó. Sau đó, chúng tôi sẽ xóa tất cả siêu dữ liệu DC theo cách thủ công.

Trong màn hình tiếp theo, hãy chọn tùy chọn Tiếp tục xóa.

Sau đó đặt mật khẩu quản trị viên máy chủ cục bộ.

Sau đó, bạn chỉ cần nhấp vào Hạ cấp.

Đợi cho đến khi quá trình hạ cấp bộ điều khiển miền kết thúc. Thông báo sau sẽ xuất hiện: Đã hạ cấp thành công Bộ điều khiển miền Active Directory.

Khởi động lại máy chủ Windows Server của bạn. Mở lại Trình quản lý máy chủ để xóa vai trò Dịch vụ miền Active Directory.

Khi xóa vai trò ADDS, các thành phần sau sẽ bị xóa theo mặc định:

  • Mô-đun Active Directory cho Windows PowerShell

  • Tính năng Công cụ AD DS và AD LDS

  • Trung tâm quản trị Active Directory

  • AD DS Snap-in và Công cụ dòng lệnh

  • Máy chủ DNS

  • Bảng điều khiển quản lý chính sách nhóm (

    gpmc.msc

    )

Chạy bảng điều khiển Máy tính và Người dùng Active Directory (dsa.msc) và đảm bảo rằng tài khoản máy tính của bộ điều khiển miền đã bị xóa khỏi OU của Bộ điều khiển Miền.

Bạn cũng có thể gỡ cài đặt bộ điều khiển miền bằng cách sử dụng

Uninstall-ADDSDomainController

Lệnh ghép ngắn PowerShell. Lệnh sẽ nhắc bạn đặt mật khẩu quản trị viên cục bộ và xác nhận hạ cấp DC.

Sau khi khởi động lại, bạn sẽ chỉ xóa vai trò ADDS bằng PowerShell:

Uninstall-WindowsFeature AD-Domain-Services -IncludeManagementTools

Sau đó mở Trang web và Dịch vụ Active Directory (

dssite.msc

) bảng điều khiển, hãy tìm trang web của bộ điều khiển miền và tài khoản của nó trong phần Máy chủ. Mở rộng DC, nhấp chuột phải vào Cài đặt NTDS và chọn Xóa.

Xác nhận xóa DC bằng cách chọn Xóa bộ điều khiển miền này. Nó vĩnh viễn ngoại tuyến và không thể xóa được nữa bằng trình hướng dẫn xóa.

Sau đó xóa tài khoản máy chủ.

Đợi cho đến khi quá trình sao chép AD kết thúc và kiểm tra trạng thái miền bằng cách sử dụng

dcdiag

Và

repadmin

lệnh (được mô tả ở trên).

Làm cách nào để loại bỏ Bộ điều khiển miền bị lỗi trong Active Directory?

Nếu bộ điều khiển miền của bạn bị lỗi (máy chủ vật lý hoặc tệp DC ảo trên bộ lưu trữ) và bạn sẽ không khôi phục DC từ bản sao lưu bộ điều khiển miền đã tạo trước đó, bạn có thể buộc xóa nó.

Quan trọng. Bộ điều khiển miền bị xóa theo cách này sẽ không bao giờ được đưa lên mạng.

Trong Windows Server 2008 R2 hoặc cũ hơn,

ntdsutil

công cụ đã được sử dụng để xóa bộ điều khiển miền bị lỗi và xóa siêu dữ liệu của nó khỏi AD. Trong Windows Server 2022/2019/2016/2012 hiện tại, bạn có thể xóa DC bị lỗi và xóa siêu dữ liệu của nó một cách chính xác bằng cách sử dụng phần đính vào MMC quản lý AD đồ họa.

Mở bảng điều khiển ADUC (

dsa.msc

) và điều hướng đến Bộ điều khiển miền. Tìm tài khoản DC của bạn và xóa nó.

Một cửa sổ để xác nhận việc xóa bộ điều khiển miền xuất hiện. Chọn Vẫn xóa Bộ điều khiển miền này. Nhấp vào Xóa.

Active Directory sẽ tự động xóa siêu dữ liệu của DC đã xóa khỏi cơ sở dữ liệu ntds.dit.

Sau đó xóa bộ điều khiển miền trong bảng điều khiển AD Sites and Services như hình trên.

Và bước cuối cùng là xóa các bản ghi bộ điều khiển miền khỏi DNS. Mở Trình quản lý DNS (

dnsmgmt.msc

).

Xóa máy chủ khỏi danh sách Máy chủ định danh trong cài đặt vùng.

Xóa bản ghi Máy chủ định danh (NS) tĩnh liên quan đến DC đã xóa trong vùng DNS của bạn và

_msdcs

,

_sites

,

_tcp

,

_udp

các phần, cũng như các bản ghi PTR trong vùng tra cứu ngược.

Hoặc sử dụng PowerShell để tìm và xóa các bản ghi trong DNS.

Dưới đây là hướng dẫn từng bước cho biết cách gỡ cài đặt bộ điều khiển miền hoặc xóa DC bị lỗi khỏi Active Directory.

Bài viết liên quan