升级新域控后,手动删除旧主域控服务器

Windows2000中提升域控制器或将其降级为独立服务器本文介绍如何在Windows 2000 中提升域操纵器或将其降级为独立服务器。

将服务器提升为域操纵器确实是在此服务器上安装Active Directory 服务的过程。

将域操纵器降级确实是删除Active Directory 并切换到使用本地用户帐户系统(UAS)。

在将服务器提升为域操纵器之前，必须规划您的结构以便最好地适应组织需要和网络拓扑结构。

在将服务器提升为域操纵器时，治理员有以下选项：•在新名目林中安装第一个域操纵器•在新域名目树中安装第一个域操纵器•在新子域中安装第一个域操纵器•在域名目树中安装额外域操纵器•从域操纵器中删除Active Directory进行名称解析时，域名系统(DNS) 服务是Active Directory 不可缺少的一部分。

DNS 定义了Windows 2000 命名空间，而且专门灵活。

有关DNS 要求和安装的其他信息，请单击下面的文章编号，以查看Microsoft 知识库中相应的文章：设置Active Directory 的域名系统在规划好配置并决定将在提升过程中使用哪一选项后，请按下面相应部分中的步骤操作。

这几部分可指导治理员完成提升过程。

在新名目林中安装第一个域操纵器注意：您必须在提升前或在提升过程中在某一位置安装一个DNS 服务器。

在将运算机提升为域操纵器后，它在DNS 中注册服务，这些服务使轻型名目访问协议(LDAP) 查询能够针对此域操纵器上的名目执行。

1.单击开始，单击运行，键入dcpromo，然后单击确定。

2.这将启动〝Active Directory 安装向导〞。

单击下一步。

3.Active Directory 安装向导会询问一系列问题，以确定此服务器将担任的角色。

因为您要将此服务器安装为名目林中的第一个域操纵器，请单击〝新域的域操纵器〞。

4.单击下一步。

5.由于此域操纵器还将充当新域名目树中的第一个域操纵器，请单击〝创建一个新的域名目树〞。

旧域控清理但仁刚【摘要】在生产环境中,会碰到要将停止使用的辅助域控制器删除的情况.就是将停止使用的域控服务器清除,清除其在AD数据库残留的旧域控信息,防止旧域控制器对AD复制有影响等问题的出现.【正文】一CMD命令清除AD051. 使用CMD命令连接到需要处理活动状态的域控服务器GHAD07，首先设置ntds作为活动实例，使用命令Activate Instance "NTDS"，依次使用命令metadata cleanup---connections---connect to server GHAD07---quit，如下所示；2. 执行命令Select operation target---list domains找到网络中的域，在此选择编号为0的域，使用命令select domain 0选择该域，如下；3. 依次使用命令，list sites（列出站点）---select site 2（选择站点），如下；4. list servers in site（列出详细站点信息）---select server 2（选择旧DC所在具体站点）---quit，如下所示；5. 使用CMD命令remove selected server删除服务器“垃圾”对象，如下；6. 弹出服务器删除确认对话框，点击“是”；7. 服务器AD05删除完成二删除AD05后续操作1. 在AD用户和计算机中查看所删除GHAD05计算机账户已清除，如下；2. 打开DNS管理器，右击属性，切换“名称服务器”选项卡，删除GHAD05的DNS记录，如下；3. 打开AD站点和服务，在“Shenzhen”站点中找到GHAD05并手动删除；三总结我们在用CMD命令将停止使用的域控制器删除后,一定要记得将DNS中记录删除,同时删除站点中的相关信息.这才是完整的DC清理流程.。

主域控崩溃，恢复活动目录当网络中的Windows Server 2003的Active Directory主域控制器完全损坏并且不能恢复时，为了保证业务的正常运转，需要将网络中的额外域控制器升级到主域控制器角色。

我们的网络拓扑如下，单域dc01为所有主机角色和GC,DC01和DC02均已安装DNS，并且互为复制。

我们将通过NTDSUTIL工具来占用dc01的操作主机角色，并且设置DC02为全局编录.这里将dc01.hisense.local离线来模拟主域控制崩溃。

1.占用操作主机角色（1）在开始-所有程序-Windows Support Tools-命令提示符（2）输入ntdsutil（3）输入roles（4）输入connections（5）输入connect to server dc02.hisense.local（6）输入quit（7）占用域命名主机角色，输入seize domain naming master ，回车，出现对话框，点是从上图可以看出先进行主机角色的传送，当传送不能成功时进行占用。

（8）占用基础架构主机角色，输入seize infrastructure master（9）占用PDC,输入seize pdc（10）占用RID角色，输入seize RID master（11)占用架构主机角色，输入seize schema master（12）输入2次quit，退出ntdsutil，输入netdom query fsmo，查看操作主机角色至此，所有操作主机角色已经到了DC02.hisense.local上了。

2.在DC02上设置全局编录（1）开始-管理工具-Active Directory 站点和服务（2）单击sites-“default-first-site-name”-servers，选择dc02，右键单击NTDS Sites，选择属性（3）在查询策略中，选择default query policy，并选中全局编录。

卸载域控制器前两天朋友遇到一个问题卸载与控制器时别拒绝卸载，我的朋友很着急我几天写这篇笔记就教大家两种卸载域控制器的方法。

第一种是正常卸载，用dcpromo这条既能升域又能降域的命令。

第二种方法是强制降域这就比较麻烦了下面我们一一介绍一下这两种方法第一种降域方法：开始=》运行=》打上命名dcpromo 点击确定如图：1.2.下一步：删除Active Directory 如果这不是最后一台域控制器就不要在（这服务器是域控制器的最后一个域控制器）前打勾如图：3.下一步要求你输入一个密码注意这个密码将来是本地管理员的密码，这台机器一经卸载就不成为域控制器的身份出现了所以这个密码是本地管理员的密码！如图：4.下一步删除活动目录（Active Directory）成为成员服务器如图：5.卸载成功！这时它能够正常的找到它的复制伙伴告诉它已经不是域控制器了下次复制活动目录不要找它了。

下面我向大家介绍一个强制卸载。

这种方法是我推荐的方法域控制器能够正常复制我们最好使用第一种方法，但是在日常的工作中都是域控制器与其它服务器失去联系，活动目录不能正常复制，域控制器失去存在的意义了我们才会去卸载它，当我们卸载失去联系的域控制器，会看到一个错误提示：（无法联系到此域的其它Active Directory域控制器），这就话就是告诉我们域控制器将无法正常复制活动目录（Active Directory）。

正常的卸载在上面说过其它Active Directory域控制器能够得到这台别卸载的域控制器的消息，会告诉KCC这台服务器已经不是域控制器了下一次复制不需要在寻找着台服务器，正常卸载会自动告诉它的复制伙伴，一但强制卸载就是告诉我们已经寻找不到自己的复制伙伴，我们要手动告诉这台服务器卸载的消息。

强制卸载步骤1. 开始=》运行=》打上命名dcpromo /forceremoval下一步：强制删除（Active Directory）下一步设置一个本地管理员密码：下一步：不通知复制伙伴自行降域。

手工删除Active Directory 数据三、我们在上一篇博文中已经把实验环境搭建好了，现在万事具备只欠损坏主域控制器，下面我们关掉主域控制器（DENVER）。

如下图所示：先在FIRENZE的Active Directory中把DENVER删除掉，使用“ntdsutil”工具，打开FIRENZE在命令行中输入“ntdsutil”命令后，如果记不清使用什么命令，可以使用？问一下。

使用“metadata cleanup”清理不使用的服务器的对象使用“connections”连接到一个特定域控制器使用“connect to server firenze”连接到自己，使用“quit”退出到上一级菜单中。

使用“select operation target”选择站点使用“list sites”就会显示出所有的站点，我们只有一个站点，这里的站点是用0代表。

使用“select site 0”就是选中站点了。

使用“list domains in site”列出所选站点中的域，只有 一个域，还是用0代表。

使用“select domain 0”选中这个域。

使用“list server for domain in site”列出所选域和站点中的服务器，列出了主域控制器DENVER和额外域控制器FIRENZE，还是用数字0和1代表。

使用“select server 0”就是选中了DENVER，因为我们是在删除主DENVER。

我们想要选的服务器已经选中了，使用“quit”退出到上一个菜单中。

使用“remove selected server”删除所先的对象DENVER，出现了一个确认对话框，选择“是”。

最后使用“quit”命令退出就可以了。

我们打开“Active Directory 站点和服务”下把“DENVER”选中，右击“删除”。

出现一个对话框,选择“是”现在“DENVER”已经没有了，展开site->default-first-site-name->servers，展开FIRENZE，右击“NTDS Settings”点“属性”，勾上全局编录前面的勾，点确定，如图所示：现在把“全局编录”也转到FIRENZE上了。

强制删除多余的域控制器很多企业都碰到过这样的问题：AD域中的某台域控制器由于软件或硬件问题而瘫痪，无法启动。

这时，如果想重新安装这台服务器，就需要先将它从域中删除。

但是，由于该服务器已经不能启动，所以无法使用Dcromo进行删除。

如果简单地从“AD用户和计算机”中删除该域控制器的话，它的信息依然会保留在AD数据库中，客户机和其他域控制器仍然会频繁访问这台已不存在的域控制器，这会给AD的功能和性能带来很大影响。

本文针对这种问题提出了一套完整的解决方案，在利用Ntdsutil工具强制删除或控制器的同时，保证了整个AD域的功能不受到任何影响。

例如，企业AD中的一台Windows Server2003域控制器（DC1），由于硬件问题而瘫痪，无法启动。

企业希望将DC1从域中删除。

在强制删除DC1前，我们需要提前考虑以下问题：1．如果删除的DC是企业当前的一台和AD集成的DNS服务器，要考虑是否需要将DNS服务器，要考虑是否需要将DNS记录迁移到其他DNS 服务器上。

如果进行了迁移，则需要更新所有成员工作站、成员服务器以及其他可能使用过这台DNS服务器进行名称解析的DC上的DNS客户端配置。

2．如果删除的域控制器是一台全局编录服务器，要考虑是否全局编录迁移到其他DC上。

3．如果删除的DC曾经担任Flexible Single Master Operation (FSMO)角色，要将这些角色重新分配给一台活动的DC。

经过系统分析，发现系统当前状况如下：1．除当前瘫痪的域控制器DC1以外，域中还存在另一台域控制器BAKSRV。

2．DC1担任着域中的所有五个FSMO角色。

3．DC1是域中的惟一的一台全局编录服务器。

4．DC1是域中的惟一的一台DNS服务器，拥有“和AD集成的DNS 区域”.5.BAKSRV充当着企业的DHCP服务器，客户端的IP地址、网关、DNS 服务器设置均由BAKSRV分发。

对系统进行分析评估之后，在删除DC1之前，必须使BAKSRV担负起DC1以前所担负的所有角色，否则将会造成用户无法登录域，网络资源不可访问等多个严重问题。

将额外控制器升级为主域控制器前两天打雷，一台额外域控制器（windows 2003 DC服务器）主板击坏，无法维修，还好，主域控服务器(Windows 2003 )没有什么事，现购买一台新机作为服务器，打算把新机升级为主域控制器，原来的主域降级为额外域控制器；一、新服务器安装好Windows 2003企业版操作系统及更新补丁，具体大家都会做，不用多说了；二、在控制面板--添加删除程序--点击添加删除组件，出现新窗口，点击网络服务，选择如下服务（WINS,DHCP,DNS,简单TCP/IP服务）；点击确定，放入windows2003光盘到光驱；三、将Windows 2003升级为额外域控制器，使用Dcpromo命令，出现升级向导，如下图：点击下一步，选择现在域的额外域控制器；接下来输入域控制器的管理员帐号和密码及域名（例：）；输入完成后点击下一步，直到完成（中间步骤省略），重启服务器；这样就安装成功额外域控制器；四、接下来，在管理工具中，点击Active Directory 站点和服务，自动创建了连接，出现如下窗口，如图：在主域控打开Active Directory 站点和服务，立即复制副本，（如上图）正常会提示Active Directory 已复制了连接；在额外域控打开Active Directory 站点和服务，立即复制副本，（如上图）正常会提示Active Directory 已复制了连接；最好查看一下日志看有没有错误；同时检查一下DNS看有没有同步；五、将额外域升级为主域控制器；1、将DC-SRV主域的FSMO，五种角色转移到BDC-SRV上，别忘了在Active Directory 站点和服务将BDC-SRV也标识成GC。

2、夺取五种角色的方法：首先要查看FSMO，运行regsvr32 schmmgmt.dll注册，注册成功按确定。

<1>更改操作主机，运行MMC---添加AD架构---运行AD架构：显示，为操作主机;选择更改域控制器,输入额外域控制器的主机全名;点击确定;<二> 更改域命名主机，运行Active Directory 域和信任关系, 在Active Directory 域和信任关系右键点击操作主机：显示：域命名主机为点击更改，确定。

WindowsServer2012R2辅域控制器如何升级成主域控制器⼀、实验模拟故障问题： zhuyu公司架设了⼀台主域控制器和⼀台辅域控制器，某⼀天，zhuyu公司的主域控制器系统崩溃，主域控制器系统也进不去。

虽然辅域控制器可以暂时代替主域控制器的普通⼯作，但是特殊的操作辅域控制器是没办法操作的。

经过zhuyu公司领导同意， 决定把主域控制器撤⾛，直接让辅域控制器升级成主域控制器。

⼆、⽹络拓扑图：********** 注意事项 **********1、辅域控若要接管主域控的前提是主域控与辅域控上都要有DNS，并且DNS是与域控是集成的。

2、客户端进⾏域访问时⾸先会联系⾸选DNS，即主域控，但是这时的主域控已经脱离⽹络，⽆法访问。

客户端就会尝试使⽤备⽤DNS，就会联系辅域控，达到正常访问，但是这样做的话，有⼀个很明显的问题，就是访问、验证、登录会⽐以前慢很多，因为要先联系主域控。

3、主域控系统⽹络是断开状态，辅域控若要获取主域控全部权限，辅域控必须通过强夺的⽅式把主域的FSMO的五个⾓⾊从主域控上强夺过来使⽤，通过ntdsutil命令清理死亡的主域控的残留信息(元数据)，最后指定辅域控为GC(全局编录)。

4、修改辅域控的IP为原来主域控的IP，同时重启Netlogon服务，⼿动将主域的DNS记录（包括A记录、NS记录、SRV记录、SOA记录）更改为原主域控的IP地址，把DNS名称服务器(NS)存在的已死亡的主域控删除掉。

5、辅域控重启系统检查DNS和域控是否正常，查看⽇志⽂件是否报错。

三、操作步骤：1、辅域控制器固定IP设置。

2、主域控制器已经脱离⽹络，ping 192.168.10.30已经不通了。

3、因为主域控已经断开连接，所以，辅域控的操作主机显⽰错误。

4、在辅域控DOS命令下运⾏netdom query fsmo 查看当前的FSMO五个⾓⾊的拥有者都是test-zhuAD主域控，所有辅域控test-beiAD采⽤强夺⽅式把主域控test-zhuAD五个⾓⾊强夺过来。

产生主域控制器与备份与控制器不同步的充要条件：1、在备份域控制器中日志中会出现组策略失败：处理组策略失败。

Windows 尝试从域控制器读取文件 \\\sysvol\\Policies\{81B2F340-016D-19D2-945F-01C04FB987F9}\gpt.ini，但是没有成功。

只有解决此事件后才会应用组策略设置。

该问题可能是暂时的，并可能由下列一个或多个原因引起:a) 到当前域控制器的名称解析/网络连接。

b) 文件复制服务延迟(在另一域控制器上创建的文件尚未复制到当前域控制器)。

c) 分布式文件系统(DFS)客户端已被禁用。

2、在备份域控制器中AD活动目录中域和信任关系出现目标文件不正确。

产生主域控制器与备份与控制器不同步的必要不充分条件：复制出现错误产生主域控制器与备份与控制器不同步的充分不必要条件：在主域中新建用户，但在备份域中不存在该用户。

解决方法一：1、在主域控制器中删除备份域控制器（1）查看该主域控制器是否为全局编录服务器查看：3：通过命令行方式查看全局编录服务器在Supprot Tools和Resource Tools工具中，有多个命令行工具可以查看全局编录服务器，这里只列出两个最常见的命令行工具使用dsquery命令查看当前域中的GCdsquery server -domain -isgc使用nltest命令查看当前域中的GCnltest /dsgetdc:（2）彻底清除备份域服务器数据元的方法Microsoft Windows [Version 5.2.3790](C) Copyright 1985-2003 Microsoft Corp.C:\Documents and Settings\Administrator>cd\C:\>ntdsutilntdsutil: ?-Show this help informationAuthoritative restore - Authoritativelyrestore the DIT databaseConfigurable Settings - Manage configurable settingsDomain management - Prepare fornew domain creationFiles -Manage NTDS database filesHelp - Showthis help informationLDAP policies - Manage LDAP protocol policiesMetadata cleanup - Clean up objects of decommissioned serversPopups %s -(en/dis)able popups with "on" or "off"Quit - Quit the utilityRoles - Manage NTDS role owner tokensSecurity account management - Manage Security Account Database - Duplicate SID CleanupSemantic database analysis - Semantic CheckerSet DSRM Password - Resetdirectory service restore mode administrator account passwordntdsutil: metadata cleanupmetadata cleanup: connectionsserver connections: connect to server dc03Binding to dc03 ...DsBindW error 0x6ba(The RPC server is unavailable.)server connections: connect to server dc01Binding to dc01 ...Connected to dc01 using credentials of locally logged on user.server connections: quitmetadata cleanup: ?- Show this help informationConnections - Connect to a specific domain controllerHelp - Show this help informationQuit - Return to the prior menuRemove selected domain - Remove DS objects for selected domainRemove selected Naming Context - Remove DS objects for selected Naming ContextRemove selected server - Remove DS objects for selected server Remove selected server %s - Remove DS objects for selected server Remove selected server %s on %s - Remove DS objects for selected serverSelect operation target - Select sites, servers, domains, roles andnaming contextsmetadata cleanup: select operation targetselect operation target: list domainsFound 1 domain(s)0 - DC=xt,DC=superlgroup,DC=localselect operation target: 0Error 80070057 parsing input - illegal syntax?select operation target: select domain 0No current siteDomain - DC=xt,DC=superlgroup,DC=localNo current serverNo current Naming Contextselect operation target: list sitesFound 1 site(s)0 - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=xt,DC=superlgroup,DC =localselect operation target: select site 0Site - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=xt,DC=superlgroup,DC=localDomain - DC=xt,DC=superlgroup,DC=localNo current serverNo current Naming Contextselect operation target: list server in siteFound 3 server(s)0 - CN=DC01,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=xt,DC=superlgroup,DC=local1 - CN=DC03,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=xt,DC=superlgroup,DC=local2 - CN=DC02,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=xt,DC=superlgroup,DC=localselect operation target: select server 1Site - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=xt,DC=superlgroup,DC=localDomain - DC=xt,DC=superlgroup,DC=localServer - CN=DC03,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=xt,DC=superlgroup,DC=localDSA object - CN=NTDSSettings,CN=DC03,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=xt,DC=superlgroup,DC=local DNS host name - dc03.xt.superlgroup.localComputer object - CN=DC03,OU=Domain Controllers,DC=xt,DC=superlgroup,DC=localNo current Naming Contextselect operation target: quitmetadata cleanup: ?- Show this help informationConnections - Connect to a specific domain controllerHelp - Show this help informationQuit - Return to the prior menuRemove selected domain - Remove DS objects for selected domainRemove selected Naming Context - Remove DS objects for selected Naming ContextRemove selected server - Remove DS objects for selected server Remove selected server %s - Remove DS objects for selected server Remove selected server %s on %s - Remove DS objects for selected serverSelect operation target - Select sites, servers, domains, roles and naming contextsmetadata cleanup: remove selected serverTransferring / Seizing FSMO roles off the selected server.Removing FRS metadata for the selected server.Searching for FRS members under "CN=DC03,OU=DomainControllers,DC=xt,DC=superlgroup,DC=local".Removing FRS member "CN=DC03,CN=Domain System Volume (SYSVOL share),CN=File Replication Service,CN=System,DC=xt,DC=superlgroup,DC=local".Deleting subtree under "CN=DC03,CN=Domain System Volume (SYSVOL share),CN=File Replication Service,CN=System,DC=xt,DC=superlgroup,DC=local".Deleting subtree under "CN=DC03,OU=DomainControllers,DC=xt,DC=superlgroup,DC=local".The attempt to remove the FRS settings onCN=DC03,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=xt,DC=superlgroup,DC=local failed because "Element not found.";metadata cleanup is continuing."CN=DC03,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=xt,DC=superlgroup,DC=local" removed from server "dc01"metadata cleanup: quitntdsutil: quitDisconnecting from dc01...C:\>Start -> Run -> dssite.msc -> enter在这出现错误说是无权删除此服务器，进行了第三步操作还是不行，则将服务器重新做系统密码：jgjtgs(重新做系统之后，先升级域，再弄网站)（3）将备份域控制器中的角色强过来二、把FSMO角色强行夺取过来。

强制删除多余的域控制器很多企业都碰到过这样的问题：AD域中的某台域控制器由于软件或硬件问题而瘫痪，无法启动。

这时，如果想重新安装这台服务器，就需要先将它从域中删除。

但是，由于该服务器已经不能启动，所以无法使用Dcromo进行删除。

如果简单地从“AD用户和计算机”中删除该域控制器的话，它的信息依然会保留在AD数据库中，客户机和其他域控制器仍然会频繁访问这台已不存在的域控制器，这会给AD的功能和性能带来很大影响。

本文针对这种问题提出了一套完整的解决方案，在利用Ntdsutil 工具强制删除或控制器的同时，保证了整个AD域的功能不受到任何影响。

例如，企业AD中的一台Windows Server2003域控制器（DC1），由于硬件问题而瘫痪，无法启动。

企业希望将DC1从域中删除。

在强制删除DC1前，我们需要提前考虑以下问题：1．如果删除的DC是企业当前的一台和AD集成的DNS服务器，要考虑是否需要将DNS服务器，要考虑是否需要将DNS记录迁移到其他DNS服务器上。

如果进行了迁移，则需要更新所有成员工作站、成员服务器以及其他可能使用过这台DNS服务器进行名称解析的DC上的DNS客户端配置。

2．如果删除的域控制器是一台全局编录服务器，要考虑是否全局编录迁移到其他DC上。

3．如果删除的DC曾经担任Flexible Single Master Operation (FSMO)角色，要将这些角色重新分配给一台活动的DC。

经过系统分析，发现系统当前状况如下：1．除当前瘫痪的域控制器DC1以外，域中还存在另一台域控制器BAKSRV。

2．DC1担任着域中的所有五个FSMO角色。

3．DC1是域中的惟一的一台全局编录服务器。

4．DC1是域中的惟一的一台DNS服务器，拥有“和AD集成的DNS 区域”.5.BAKSRV充当着企业的DHCP服务器，客户端的IP地址、网关、DNS服务器设置均由BAKSRV分发。

对系统进行分析评估之后，在删除DC1之前，必须使BAKSRV担负起DC1以前所担负的所有角色，否则将会造成用户无法登录域，网络资源不可访问等多个严重问题。

卸载辅助域控制器步骤首先，先打开辅助域控制器，用管理员登陆
登陆后点开始-运行-dcpromo-确定,打开AD向导
点下一步，出现了删除域对话框
因为这里不是最后一台域控制器，所以什么都不选，点下一步
输入新管理员的密码，这里的管理员密码是用来本地登陆此计算机的管理员密码，因为做辅助域控制器就不允许本地登陆了，如果卸载了域控制器就会成为域中的成员计算机，成
员计算机是允许本地管理员进行本地登陆的，这里就是输入一个用管理员进行本地登陆的
密码。

点下一步
出现了摘要信息，删除完域控制器后，这台计算机会成为域的成员，也就是域的客户机，点下一步
现在开始进行删除操作拉，稍等片刻就会删除完成
已经删除完成，点完成
是否立即重新启动，点立即重新启动，辅助域控制器卸载完成。

一步一步删除域残留信息去年《加入、升降级域故障的解决》一文讲述了降级失败后如何强制删除额外域控制器。

如果仍然想将计算机B（降级后）不改名称加入到原主域中，那就需要手动清除残留在原主域控制器的信息，清除方法如下：在主域服务器上单击“开始→运行”，输入“cmd”后点“确定”。

1.在命令提示符下，输入ntdsutil，然后按回车键。

2.接着输入metadata cleanup按回车键。

3.再输入connections按回车键，此菜单是用于连接将在其上进行这些更改的具体服务器。

4.输入connect to server主域服务器完整的计算机名称，你会收到一条说明该连接已经成功建立的确认消息。

5.输入quit，然后按回车键。

将显示Metadata Cleanup菜单。

6.输入select operation target，然后按回车键。

7.输入list domains，然后按回车键。

将显示一个列出目录林中所有域的列表，每一个域都有一个关联的编号。

8.输入select domain 编号，然后按回车键，其中编号是与域关联的编号，要删除的服务器是该域的成员。

选择的域用于确定正在删除的服务器是否为该域的最后一个域控制器。

9.输入list sites，然后按回车键。

将显示一个站点列表，每一个站点都有一个关联的编号。

10.输入select site 编号，然后按回车键，其中编号是与站点关联的编号，要删除的服务器是该站点的成员。

你会收到一条列出所选站点和域的确认消息。

11.输入list servers in site，然后按回车键。

将显示一个列出站点中所有服务器的列表，每一个服务器都有一个关联的编号。

12.输入 select server 编号，其中编号是与要删除的服务器（计算机B）关联的编号。

你会收到一条确认消息，其中列出所选的服务器、该服务器的“域名服务器” DNS 主机名，以及要删除的服务器（计算机B）账户的位置。

升级到新硬件后删除旧的驱动程序
升级到新硬件后删除旧的驱动程序
如果你在升级硬件后遇到了奇怪的问题，或者你刚升级到最新的硬件设备并没有看到你所想要的性能
如果你在升级硬件后遇到了奇怪的问题，或者你刚升级到最新的硬件设备并没有看到你所想要的性能，你可能想删除安装在硬件的旧驱动，即使你通常不能在设备管理器中看到他们。

在这里我将教你怎么把旧的驱动程序删除掉。

首先你需要做的是以管理员模式下打开一个命令提示符，在开始菜单搜索框中键入CMD然后使用Ctrl+Shift+Enter组合键以管理员模式打开（也可以右键单击命令提示符并选择以管理员身份运行）。

现在将下面一行复制然后在命令提示符上右键粘贴并按回车键（图1）：
图1
接着在命令提示符中键入devmgmt.msc（图2）并按回车键启动设备管理器。

图2
设备管理器打开后，在菜单栏单击查看然后选择显示隐藏设备（图3），这将显示所有的设备驱动程序包括目前尚未在电脑上安装的东西。

图3
现在任意单击个设备查看，比如声音、视频和游戏控制器，请注意我这里有7个驱动程序（图4），但就一个是有用的。

图4
你可以右键单击驱动程序然后从菜单中选择卸载删除掉旧的硬件驱动程序。

图5
我发现这可以解决很多奇怪的问题，甚至还有可能提高某些机器的性能，虽然这不一定会提高多少性能，但它可以给电脑带来一个整洁环境。

辅域控抢夺并清理原服务器信息Microsoft Windows [版本5.2.3790](C) 版权所有1985-2003 Microsoft Corp.所有操作都在辅域控下C:\Documents and Settings\Administrator.S2&gt;netdom query fsmo Schema owner Domain role owner PDC role RID pool manager Infrastructure owner The command completed successfully.C:\Documents and Settings\Administrator.S2&gt;ntdsutilntdsutil: ?? - 显示这个帮助信息Authoritative restore - 授权还原DIT 数据库Configurable Settings - 管理可配置的设置Domain management - 准备新域创建Files - 管理NTDS 数据库文件Group Membership Evaluation - 评估给定用户或组的令牌中的SID Help - 显示这个帮助信息LDAP policies - 管理LDAP 协议策略Metadata cleanup - 清理不使用的服务器的对象Popups %s - 用“on”或“off”启用或禁用弹出Quit - 退出实用工具Roles - 管理NTDS 角色所有者令牌Security account management - 管理安全帐户数据库- 复制SID 清理Semantic database analysis - 语法检查器Set DSRM Password - 重置目录服务还原模式管理员帐户密码ntdsutil: rolesfsmo maintenance: ?? - 显示这个帮助信息Connections - 连接到一个特定域控制器Help - 显示这个帮助信息Quit - 返回到上一个菜单Seize domain naming master - 在已连接的服务器上覆盖域角色Seize infrastructure master - 在已连接的服务器上覆盖结构角色Seize PDC - 在已连接的服务器上覆盖PDC 角色Seize RID master - 在已连接的服务器上覆盖RID 角色Seize schema master - 在已连接的服务器上覆盖架构角色Select operation target - 选择的站点，服务器，域，角色和命名上下文Transfer domain naming master - 将已连接的服务器定为域命名主机Transfer infrastructure master - 将已连接的服务器定为结构主机Transfer PDC - 将已连接的服务器定为PDCTransfer RID master - 将已连接的服务器定为RID 主机Transfer schema master - 将已连接的服务器定为架构主机fsmo maintenance: connectionsserver connections: ?? - 显示这个帮助信息Clear creds - 清除以前的连接凭据Connect to domain %s - 连接到DNS 域名称Connect to server %s - 连接到服务器、DNS 名称或IP 地址Help - 显示这个帮助信息Info - 显示连接信息Quit - 返回到上一个菜单Set creds %s %s %s - 将连接凭据设置为域、用户、密码。

域控制器的删除6.2.3 正常删除域控制器示例【注意】无论是正常删除，还是强制删除，当域控制器上安装了"证书"服务时，不能删除域控制器，必须先卸载证书服务组件。

另外，如果域控制器是某个服务器群集的节点之一，也不能删除域控制器，得先通过群集管理器把该服务器从群集中退出。

如果群集管理器也不能成功退出，则可使用以下命令从群集中清除该服务器节点：cluster node 节点服务器名称 /forcecleanup当不再需要某服务器担当域控制器角色，而需要该服务器成为网络中的一台普通成员服务器时，可以通过删除其中的活动目录来降级该域控制器成为成员服务器。

这也就是通常所说的域控制器删除。

一般来说，可以通过正常运行Active Directory安装向导来删除域控制器。

【经验之谈】可以删除域中的任何域控制器，包括第一台域控制器，但是如果要删除全局编录的域控制器，则要确保网络中还有其他域控制器配置为全局编录角色，否则网络中没有一台域控制器是全局编录角色，会影响用户的网络访问性能的。

在删除网络中全局编录角色域控制器时会弹出如图6-73所示的警告提示框，提示必须先要确保网络中有足够的全局编录角色域控制器。

全局编录中包含的所有域对象的部分副本是用户搜索操作中最常用的部分。

在全局编录中存储所有域对象的最常搜索的属性，可以为用户提供高效的搜索，而不需要其他域控制器参考搜索。

配置域控制器为全局编录角色的方法是在"Active Directory站点和服务"管理单元控制台中Default-First-Site下面的Server节点下单击选择相应的域控制器（如图6-74所示），然后在右侧窗格中的NTDS Settings项上右击，在"常规"选项卡中选择"全局编录"复选项，如图6-75所示。

下面介绍正常情况下的域控制器删除方法。

在此以删除lycb.local中的一台额外域控制器lycb-dc2为例进行介绍。

产生主域控制器与备份与控制器不同步的充要条件：1、在备份域控制器中日志中会出现组策略失败：处理组策略失败。

Windows 尝试从域控制器读取文件 \\\sysvol\\Policies\{81B2F340-016D-19D2-945F-01C04FB987F9}\gpt.ini，但是没有成功。

只有解决此事件后才会应用组策略设置。

该问题可能是暂时的，并可能由下列一个或多个原因引起:a) 到当前域控制器的名称解析/网络连接。

b) 文件复制服务延迟(在另一域控制器上创建的文件尚未复制到当前域控制器)。

c) 分布式文件系统(DFS)客户端已被禁用。

2、在备份域控制器中AD活动目录中域和信任关系出现目标文件不正确。

产生主域控制器与备份与控制器不同步的必要不充分条件：复制出现错误产生主域控制器与备份与控制器不同步的充分不必要条件：在主域中新建用户，但在备份域中不存在该用户。

解决方法一：1、在主域控制器中删除备份域控制器（1）查看该主域控制器是否为全局编录服务器查看：3：通过命令行方式查看全局编录服务器在Supprot Tools和Resource Tools工具中，有多个命令行工具可以查看全局编录服务器，这里只列出两个最常见的命令行工具使用dsquery命令查看当前域中的GCdsquery server -domain -isgc使用nltest命令查看当前域中的GCnltest /dsgetdc:（2）彻底清除备份域服务器数据元的方法Microsoft Windows [Version 5.2.3790](C) Copyright 1985-2003 Microsoft Corp.C:\Documents and Settings\Administrator>cd\C:\>ntdsutilntdsutil: ?-Show this help informationAuthoritative restore - Authoritativelyrestore the DIT databaseConfigurable Settings - Manage configurable settingsDomain management - Prepare fornew domain creationFiles -Manage NTDS database filesHelp - Showthis help informationLDAP policies - Manage LDAP protocol policiesMetadata cleanup - Clean up objects of decommissioned serversPopups %s -(en/dis)able popups with "on" or "off"Quit - Quit the utilityRoles - Manage NTDS role owner tokensSecurity account management - Manage Security Account Database - Duplicate SID CleanupSemantic database analysis - Semantic CheckerSet DSRM Password - Resetdirectory service restore mode administrator account passwordntdsutil: metadata cleanupmetadata cleanup: connectionsserver connections: connect to server dc03Binding to dc03 ...DsBindW error 0x6ba(The RPC server is unavailable.)server connections: connect to server dc01Binding to dc01 ...Connected to dc01 using credentials of locally logged on user.server connections: quitmetadata cleanup: ?- Show this help informationConnections - Connect to a specific domain controllerHelp - Show this help informationQuit - Return to the prior menuRemove selected domain - Remove DS objects for selected domainRemove selected Naming Context - Remove DS objects for selected Naming ContextRemove selected server - Remove DS objects for selected server Remove selected server %s - Remove DS objects for selected server Remove selected server %s on %s - Remove DS objects for selected serverSelect operation target - Select sites, servers, domains, roles andnaming contextsmetadata cleanup: select operation targetselect operation target: list domainsFound 1 domain(s)0 - DC=xt,DC=superlgroup,DC=localselect operation target: 0Error 80070057 parsing input - illegal syntax?select operation target: select domain 0No current siteDomain - DC=xt,DC=superlgroup,DC=localNo current serverNo current Naming Contextselect operation target: list sitesFound 1 site(s)0 - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=xt,DC=superlgroup,DC =localselect operation target: select site 0Site - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=xt,DC=superlgroup,DC=localDomain - DC=xt,DC=superlgroup,DC=localNo current serverNo current Naming Contextselect operation target: list server in siteFound 3 server(s)0 - CN=DC01,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=xt,DC=superlgroup,DC=local1 - CN=DC03,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=xt,DC=superlgroup,DC=local2 - CN=DC02,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=xt,DC=superlgroup,DC=localselect operation target: select server 1Site - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=xt,DC=superlgroup,DC=localDomain - DC=xt,DC=superlgroup,DC=localServer - CN=DC03,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=xt,DC=superlgroup,DC=localDSA object - CN=NTDSSettings,CN=DC03,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=xt,DC=superlgroup,DC=local DNS host name - dc03.xt.superlgroup.localComputer object - CN=DC03,OU=Domain Controllers,DC=xt,DC=superlgroup,DC=localNo current Naming Contextselect operation target: quitmetadata cleanup: ?- Show this help informationConnections - Connect to a specific domain controllerHelp - Show this help informationQuit - Return to the prior menuRemove selected domain - Remove DS objects for selected domainRemove selected Naming Context - Remove DS objects for selected Naming ContextRemove selected server - Remove DS objects for selected server Remove selected server %s - Remove DS objects for selected server Remove selected server %s on %s - Remove DS objects for selected serverSelect operation target - Select sites, servers, domains, roles and naming contextsmetadata cleanup: remove selected serverTransferring / Seizing FSMO roles off the selected server.Removing FRS metadata for the selected server.Searching for FRS members under "CN=DC03,OU=DomainControllers,DC=xt,DC=superlgroup,DC=local".Removing FRS member "CN=DC03,CN=Domain System Volume (SYSVOL share),CN=File Replication Service,CN=System,DC=xt,DC=superlgroup,DC=local".Deleting subtree under "CN=DC03,CN=Domain System Volume (SYSVOL share),CN=File Replication Service,CN=System,DC=xt,DC=superlgroup,DC=local".Deleting subtree under "CN=DC03,OU=DomainControllers,DC=xt,DC=superlgroup,DC=local".The attempt to remove the FRS settings onCN=DC03,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=xt,DC=superlgroup,DC=local failed because "Element not found.";metadata cleanup is continuing."CN=DC03,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=xt,DC=superlgroup,DC=local" removed from server "dc01"metadata cleanup: quitntdsutil: quitDisconnecting from dc01...C:\>Start -> Run -> dssite.msc -> enter在这出现错误说是无权删除此服务器，进行了第三步操作还是不行，则将服务器重新做系统密码：jgjtgs(重新做系统之后，先升级域，再弄网站)（3）将备份域控制器中的角色强过来二、把FSMO角色强行夺取过来。

域控制器的强制卸载上篇博文中我们介绍了如何对域控制器进行常规卸载，本文中我们将介绍如何对域控制器进行强制卸载。

为什么需要对域控制器进行强制卸载呢？如果域控制器不能和复制伙伴正常通讯，而且更正无望，那我们就要考虑进行强制卸载了。

例如我曾见过一个单位有10个域控制器，居然有7个不能相互复制，主要是管理员误以为域控制器越多越好….类似这样的情况，我们就可以果断出手，把域控制器强行卸载掉。

域控制器强行卸载的原理也很简单，那就是卸载时不再通知复制伙伴，直接把AD删除就好。

这样的卸载方式是要相对简单一些，但其实后续的操作很麻烦，例如我们需要在Active Directory中手工清除被强制卸载的域控制器，手工清除DNS中的SRV记录等。

因此，如果不是万不得已，还是用常规卸载比较好。

如下图所示，我们将利用如下图所示的拓扑为大家演示如何进行域控制器的强制卸载，我们进行强制卸载的目标是shanghai站点的Firenze。

一强制卸载域控制器首先我们在被卸载的域控制器Firenze上打开cmd命令提示符，执行dcpromo/forceremoval，forceremoval参数的作用就是执行强制卸载，如下图所示，卸载向导提示我们这种卸载方式将不对其他域控制器的Active Directory数据进行更新。

接下来我们需要设置Firenze本地管理员的口令。

强制卸载域控制器后，Firenze将不再成为域内的成员服务器，而是会从域中脱离出去成为工作组中的独立服务器。

如下图所示，点击完成结束了域控制器的强制卸载。

二手工清除Active Directory数据Firenze被强制卸载后，域内的其他域控制器并不知道这件事情，它们仍然认为Firenze是域控制器的一员，因此我们必须手工将Firenze从Active Directory中清除出去。

我们准备在Berlin上对Active Directory进行手工清理，然后Berlin再把清理后的Active Directory复制到其他域控制器就可以了。

域控服务器备份和恢复域控服务器（Domain Controller）是部署在Windows Server操作系统上的一种重要的服务器角色，用于管理和控制整个域中的用户、计算机和资源。

由于域控服务器扮演着核心的角色，数据的备份和恢复对于保证系统的稳定性和可靠性至关重要。

首先，对于系统级备份，可以使用Windows Server自带的Windows Server备份工具（Windows Server Backup）来进行备份。

通过该工具，可以选择备份整个服务器系统，包括操作系统、系统状态、配置文件以及应用程序等。

此种备份方式可以灵活地还原整个服务器系统，但需要占用较大的存储空间。

其次，对于数据库级备份，域控服务器主要依赖于Active Directory数据库进行用户、计算机和资源的管理。

可以使用Windows Server自带的NTDSUtil工具来备份和恢复Active Directory数据库。

其中，备份可以通过执行"ntdsutil backup"命令来实现，可以备份整个数据库或仅备份指定的目录服务分区。

而恢复则可以通过执行"ntdsutil restore"命令来实现，可以从备份文件中选择性恢复域控服务器。

除了以上的方法，还可以使用第三方备份软件，例如Symantec Backup Exec、Acronis Backup等。

这些软件可以提供更强大和灵活的备份和恢复功能，能够实现增量备份、差异备份、定时备份等功能，同时支持自动化备份策略。

不管采用哪种备份方式，备份数据的存储是一个重要的问题。

为确保数据的安全性和可靠性，需要将备份数据存储在不同的位置，最好是与域控服务器所在的位置分离，以防止单点故障。

同时，建议备份数据进行加密，确保数据的机密性；并对备份数据进行定期的验证，以确保备份数据的完整性。

在数据备份的基础上，如果发生域控服务器故障或数据损坏的情况，需要进行恢复操作。

windows server 2003 域控制器转移迁移准备工作:1. 在Windows Server 2003上运行dcpromo命令将其升级为域控制器，并在升级时选择使其成为现有Windows 2003域的额外的域控制器。

2. 在Windows Server 2003上安装DNS服务，确认它已经和原来的Windows 2003DNS服务器上的数据复制同步后，将它的DNS服务器地址指向自己。

3. 将这台Windows Server 2003域控制器设为全局编录（Glocal Catalog）服务器，具体方法请参考下面这篇文档：《How to promote a domain controller to a global catalog server》：</?id=296882>4. 将原来的Windows 2003域控制器上的5个FSMO角色转移到这台Windows Server 2003域控制器上，具体方法请参考下面这篇文档：《如何查看和转移Windows Server 2003 中的FSMO 角色》：</?id=324801>当最后一步转移结构主机角色时可能会提示“当前域控制器是全局编录服务器，不要将结构主机角色转移到该域控制器上”，由于是在单域环境中，直接确认忽略该提示即可。

关于在Windows 2003域控制器上放置FSMO的更多信息，请参考下面这篇文档：《在Windows 2003 域控制器上放置和优化FSMO》：</?id=223346>5. 完成以上操作之后，新的Windows Server 2003域控制器便替代了原来的第一台Windows 2003域控制器的角色，但我们需要等待一段时间使原来的Windows 2003域控制器上的和全局编录及FSMO角色相关的活动目录信息完全复制到WindowsServer 2003域控制器上。

建议您观察一两天时间，并确认新的Windows Server 2003域控制器/DNS服务器一切工作正常后，再将原来的Windows 2003域控制器降级。