Active Directory'de Bir Etki Alanı Denetleyicisini Kaldırma (Düşürme)

Bu yazıda, Windows Server 2022/2019/2016/2012R2'de bir Active Directory etki alanı denetleyicisinin nasıl doğru şekilde kaldırılacağını (indirgemenin) göstereceğiz. Bir etki alanı denetleyicisini kaldırırken genellikle aşağıdaki senaryolardan biri kullanılır.

Bir Active Directory Etki Alanı Denetleyicisini ve ADDS Rolünü Kaldırma (Adım Adım)

AD etki alanı denetleyicilerinizden birini (ortak DC veya salt okunur etki alanı denetleyicisi - RODC) devre dışı bırakacaksanız, etki alanı denetleyicinizi bir üye sunucuya indirgemeden ve Active Directory Etki Alanı Hizmetlerini (ADDS) kaldırmadan önce bazı hazırlık adımları uygulamanız gerekir. ) rolü.

  1. Etki alanı denetleyicinizin, Active Directory'nin ve çoğaltmanın durumunu kontrol edin. AD kullanarak bir etki alanı denetleyicisinin sağlığının ve çoğaltmasının nasıl kontrol edileceğine ilişkin ayrı bir makale vardır.

    dcdiag

    ,

    repadmin

    ve PowerShell betikleri. Bulunursa sorunları düzeltin. Belirli bir etki alanı denetleyicisindeki hataların listesini görüntülemek için aşağıdaki komutu çalıştırın:

    dcdiag.exe /s:mun-dc03 /q

  2. AD FSMO rollerinin etki alanı denetleyicisinde çalışmadığından emin olun:

    netdom query fsmo

    Gerekirse FSMO rollerini başka bir DC'ye taşıyın.

  3. DHCP sunucusu rolünün etki alanı denetleyicisinde çalışmadığından emin olun. Öyleyse, başka bir sunucuya taşıyın;

  4. İstemcilere IP adresleri atayan DHCP kapsamları için DNS ayarlarını değiştirin. Farklı bir DNS sunucusu adresi atamaları için DHCP kapsamlarının yapılandırmasını değiştirin (tüm istemcilerin yeni DNS sunucusu ayarları alması için IP kiralama süresinin dolmasını bekleyin). Aşağıdaki PowerShell komutunu kullanarak bir sunucuda tüm bölgeler için ayarlanan DNS sunucularının bir listesini (DNS Sunucuları Seçeneği 006) görüntüleyebilirsiniz (PowerShell kullanarak Windows Server'da DHCP'nin nasıl yönetileceği hakkında daha fazla bilgi edinin):

    Get-DhcpServerv4Scope -ComputerName mun-dhcp.a-d.site| Get-DhcpServerv4OptionValue | Where-Object {$_.OptionID -like 6} | FT Value

  5. Bazı istemciler, DC'de (ağ aygıtları, sunucular, yazıcılar, tarayıcılar, vb.) bir DNS sunucusu kullanacak şekilde manuel olarak ayarlanabilir. Bu tür cihazları bulmanız ve başka bir DNS sunucusuna yeniden yapılandırmanız gerekir. Günlüklerinden DNS sunucunuza erişen bu tür cihazları bulmak daha kolaydır. İşte ayrıntılı bir makale: Windows Server'da İstemci DNS Sorguları Nasıl Denetlenir;

  6. Etki alanı denetleyicisinde bir Sertifika Yetkilisi rolü çalışıyorsa, onu başka bir sunucuya taşıyın;

  7. Etki alanı denetleyicisinde başka hizmetler (KMS sunucusu, Radius/NPS, WSUS vb.) çalışıyorsa, bunları başka ana bilgisayarlara taşımak isteyip istemediğinize karar verin;

  8. Kullan

    Test-ADDSDomainControllerUninstallation

    Bir DC'yi kaldırırken karşılaşabileceğiniz herhangi bir bağımlılık veya sorun olup olmadığından emin olmak için cmdlet'i kullanın. Cmdlet Success döndürürse devam edebilirsiniz.

Artık etki alanı denetleyicisini bir üye sunucuya indirmeye hazırsınız. Windows Server 201'den önce, bunun için dcpromo komutu kullanılıyordu. Modern Windows Server sürümlerinde bu araç kullanımdan kaldırılmıştır ve kullanılması önerilmez.

Etki alanı denetleyicinizi Sunucu Yöneticisi'ni kullanarak indirgeyebilirsiniz. Sunucu Yöneticisi -> Uzak Roller ve Özellikler'i açın -> Sunucu Rolleri bölümündeki Active Directory Etki Alanı Hizmetleri'nin işaretini kaldırın.

Bu etki alanı denetleyicisini indirgeyin'i tıklayın.

Active Directory Etki Alanı Hizmetleri Yapılandırma Sihirbazı görünür. Bu etki alanı denetleyicisinin kaldırılmasını zorla seçeneği, etki alanındaki son etki alanı denetleyicisini kaldırmak için kullanılır. Kullanmayın. Daha sonra tüm DC meta verilerini manuel olarak sileceğiz.

Bir sonraki ekranda, Kaldırmaya devam et seçeneğini işaretleyin.

Ardından, yerel sunucu yönetici parolasını ayarlayın.

Ardından Düşür'ü tıklamanız yeterlidir.

Etki alanı denetleyicisi indirgemesi bitene kadar bekleyin. Şu mesaj görünecektir: Active Directory Etki Alanı Denetleyicisi başarıyla indirildi.

Windows Server ana bilgisayarınızı yeniden başlatın. Active Directory Etki Alanı Hizmetleri rolünü kaldırmak için Sunucu Yöneticisini yeniden açın.

ADDS rolü kaldırılırken, aşağıdaki bileşenler varsayılan olarak kaldırılacaktır:

  • Windows PowerShell için Aktif Dizin Modülü

  • AD DS ve AD LDS Araçları özelliği

  • Active Directory Yönetim Merkezi

  • AD DS Ek Bileşenleri ve Komut Satırı Araçları

  • Dns sunucusu

  • Grup İlkesi Yönetim Konsolu (

    gpmc.msc

    )

Active Directory Kullanıcıları ve Bilgisayarları konsolunu (dsa.msc) çalıştırın ve etki alanı denetleyicisi bilgisayar hesabının Etki Alanı Denetleyicileri OU'sundan kaldırıldığından emin olun.

kullanarak bir etki alanı denetleyicisini de kaldırabilirsiniz.

Uninstall-ADDSDomainController

PowerShell cmdlet'i. Komut sizden bir yerel yönetici parolası belirlemenizi ve DC indirgemesini onaylamanızı isteyecektir.

Yeniden başlatmanın ardından, PowerShell'i kullanarak ADDS rolünü kaldıracaksınız:

Uninstall-WindowsFeature AD-Domain-Services -IncludeManagementTools

Ardından Active Directory Siteleri ve Hizmetlerini açın (

dssite.msc

) konsolunu açın, etki alanı denetleyicisi sitesini ve hesabını Sunucular bölümünde bulun. DC'yi genişletin, NTDS Ayarları'nı sağ tıklayın ve Sil'i seçin.

Bu Etki Alanı Denetleyicisini Yine de Sil'i işaretleyerek DC kaldırma işlemini onaylayın. Kalıcı olarak çevrimdışıdır ve artık kaldırma sihirbazı kullanılarak kaldırılamaz.

Ardından sunucu hesabını silin.

AD replikasyonu bitene kadar bekleyin ve kullanarak etki alanı durumunu kontrol edin.

dcdiag

Ve

repadmin

komutlar (yukarıda açıklanmıştır).

Active Directory'de Başarısız Bir Etki Alanı Denetleyicisi Nasıl Kaldırılır?

Etki alanı denetleyiciniz başarısız olduysa (depolamadaki fiziksel sunucu veya sanal DC dosyaları) ve DC'yi daha önce oluşturulan etki alanı denetleyicisi yedeğinden geri yüklemeyecekseniz, onu zorla silebilirsiniz.

Önemli. Bu şekilde kaldırılan bir etki alanı denetleyicisi asla çevrimiçi duruma getirilmemelidir.

Windows Server 2008 R2 veya öncesinde,

ntdsutil

aracı, başarısız bir etki alanı denetleyicisini kaldırmak ve meta verilerini AD'den temizlemek için kullanıldı. Geçerli Windows Server 2022/2019/2016/2012'de, grafik AD yönetimi MMC ek bileşenlerini kullanarak başarısız DC'yi silebilir ve meta verilerini doğru şekilde temizleyebilirsiniz.

ADUC konsolunu açın (

dsa.msc

) ve Etki Alanı Denetleyicileri'ne gidin. DC hesabınızı bulun ve silin.

Etki alanı denetleyicisinin silinmesini onaylamak için bir pencere görünür. Bu Etki Alanı Denetleyicisini yine de sil'i işaretleyin. Sil'i tıklayın.

Active Directory, kaldırılan DC'nin meta verilerini ntds.dit veritabanından otomatik olarak temizleyecektir.

Ardından, yukarıda gösterildiği gibi AD Siteleri ve Hizmetleri konsolundaki etki alanı denetleyicisini silin.

Ve son adım, etki alanı denetleyicisi kayıtlarını DNS'den kaldırmaktır. DNS Yöneticisini açın (

dnsmgmt.msc

).

Bölge ayarlarındaki Ad Sunucuları listesinden sunucuyu kaldırın.

DNS bölgenizdeki silinmiş DC ile ilgili statik Ad Sunucuları (NS) kayıtlarını kaldırın ve

_msdcs

,

_sites

,

_tcp

,

_udp

bölümlerin yanı sıra geriye doğru arama bölgesindeki PTR kayıtları.

Veya DNS'deki kayıtları bulmak ve kaldırmak için PowerShell'i kullanın.

Burada, bir etki alanı denetleyicisinin nasıl kaldırılacağını veya başarısız bir DC'nin Active Directory'den nasıl silineceğini gösteren adım adım bir kılavuz bulunmaktadır.

İlgili makaleler