Ntdsutil Meta Veri Temizleme
Bu makale, bir etki alanı denetleyicisini öldürdükten sonra Active Directory meta verilerinin nasıl temizleneceğini adım adım gösterecektir.
Listelenen adımlar yalnızca etki alanı denetleyicisini tekrar çevrimiçi duruma getirme niyetiniz olmadığında gerçekleştirilmelidir.
Temizleme, bilgisayar hesabının etki alanı bölümünden silinmesinin yanı sıra yapılandırma bölümündeki çoğaltma nesnelerinin kaldırılmasını da içerir.
Temizleme işlemini gerçekleştirmek için Ntdsutil aracını kullanıyoruz. Ntdsutil, mevcut etki alanı denetleyicilerinde bulunur ve RSAT kurulumu kullanılarak bir istemci makineye kurulabilir.
Önkoşullar
Enterprise Admins grubunun üyesi olduğunuzdan ve komut isteminizin yönetici haklarıyla yükseltildiğinden emin olun. Her ikisini de “whoami /all” komutunu çalıştırarak kontrol edin:
PS C:\Users\mskadm> whoami /all
USER INFORMATION
----------------
User Name SID
=============== =============================================
E365M\mskadm S-1-5-21-3247909092-157580105-2477339510-1480
GROUP INFORMATION
-----------------
Group Name Type SID Attributes
=============================================== ================ ============================================== ===============================================================
Everyone Well-known group S-1-1-0 Mandatory group, Enabled by default, Enabled group
BUILTIN\Users Alias S-1-5-32-545 Mandatory group, Enabled by default, Enabled group
BUILTIN\Pre-Windows 2000 Compatible Access Alias S-1-5-32-554 Mandatory group, Enabled by default, Enabled group
BUILTIN\Administrators Alias S-1-5-32-544 Mandatory group, Enabled by default, Enabled group, Group owner
NT AUTHORITY\REMOTE INTERACTIVE LOGON Well-known group S-1-5-14 Mandatory group, Enabled by default, Enabled group
NT AUTHORITY\INTERACTIVE Well-known group S-1-5-4 Mandatory group, Enabled by default, Enabled group
NT AUTHORITY\Authenticated Users Well-known group S-1-5-11 Mandatory group, Enabled by default, Enabled group
NT AUTHORITY\This Organization Well-known group S-1-5-15 Mandatory group, Enabled by default, Enabled group
LOCAL Well-known group S-1-2-0 Mandatory group, Enabled by default, Enabled group
E365M\Domain Admins Group S-1-5-21-3247909092-157580105-2477339510-512 Mandatory group, Enabled by default, Enabled group
E365M\Enterprise Admins Group S-1-5-21-3247909092-157580105-2477339510-519 Mandatory group, Enabled by default, Enabled group
Mandatory Label\High Mandatory Level Label S-1-16-12288
Yukarıdaki çıktıda grup üyeliğindeki son iki satıra dikkat edin! Bu, Enterprise Admins grubunun üyeliğini ve kimlik bilgilerinin yükseltildiğini gösterir.
Ntdsutil Meta Veri Temizleme
Etki alanı denetleyicisi meta verilerini etki alanınızdan temizlemek için aşağıdaki adımları uygulayın
1. “ntdsutil” yazarak Ntdsutil etkileşimli oturumuna girin
2. "Meta veri temizleme" yazarak meta veri temizleme bağlamına geçin
3. "İşlem hedefini seç" yazarak işlem hedefi seçim bağlamına geçin
4. Alan adlarınızı listeleyin ve hedef alan adınızı seçin
5. REKLAM sitelerinizi listeleyin ve hedef sitenizi seçin
6. AD etki alanı denetleyicilerinizi listeleyin ve hedef etki alanı denetleyicinizi seçin
7. "Quit" yazarak işlem hedefi seçim bağlamından çıkın
8. "Seçilen sunucuyu kaldır" yazarak seçilen sunucunun meta verilerinin temizlenmesini isteyin
9. Temizleme işlemini tamamlama isteğinizi doğrulayın
Eski etki alanı denetleyicisi artık hem etki alanından hem de Active Directory'nizin yapılandırma bölümünden kaldırılmıştır. Tekrar çevrimiçi duruma getirmediğinizden emin olun.
Örnek Çıktı
Bazı örnek komutları görmek için eski etki alanı denetleyicisi "E365M-DC01" için meta verileri kaldırmayı deneyelim.
Kurulumunuza bağlı olarak yukarıdaki komutların tam çıktısı şöyle görünebilir:
C:\Users\mskadm> ntdsutil
C:\Windows\system32\ntdsutil.exe: metadata cleanup
metadata cleanup: select operation target
select operation target: list domains
Found 1 domain(s)
0 - DC=Easy365Manager,DC=local
select operation target: select domain 0
No current site
Domain - DC=Easy365Manager,DC=local
No current server
No current Naming Context
select operation target: list sites
Found 2 site(s)
0 - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=Easy365Manager,DC=local
1 - CN=DataCenter,CN=Sites,CN=Configuration,DC=Easy365Manager,DC=local
select operation target: select site 1
Site - CN=DataCenter,CN=Sites,CN=Configuration,DC=Easy365Manager,DC=local
Domain - DC=Easy365Manager,DC=local
No current server
No current Naming Context
select operation target: list servers in site
Found 2 server(s)
0 - CN=E365M-DC01,CN=Servers,CN=DataCenter,CN=Sites,CN=Configuration,DC=Easy365Manager,DC=local
1 - CN=E365M-DC02,CN=Servers,CN=DataCenter,CN=Sites,CN=Configuration,DC=Easy365Manager,DC=local
select operation target: select server 0
Site - CN=DataCenter,CN=Sites,CN=Configuration,DC=Easy365Manager,DC=local
Domain - DC=Easy365Manager,DC=local
Server - CN=E365M-DC01,CN=Servers,CN=DataCenter,CN=Sites,CN=Configuration,DC=Easy365Manager,DC=local
DSA object - CN=NTDS Settings,CN=E365M-DC01,CN=Servers,CN=DataCenter,CN=Sites,CN=Configuration,DC=Easy365Manager,DC=local
DNS host name - Easy365Manager-DC01.Easy365Manager.local
Computer object - CN=E365M-DC01,OU=Domain Controllers,DC=Easy365Manager,DC=local
No current Naming Context
select operation target: quit
metadata cleanup: remove selected server
Transferring / Seizing FSMO roles off the selected server.
Removing FRS metadata for the selected server.
Searching for FRS members under "CN=E365M-DC01,OU=Domain Controllers,DC=Easy365Manager,DC=local".
Deleting subtree under "CN=E365M-DC01,OU=Domain Controllers,DC=Easy365Manager,DC=local".
The attempt to remove the FRS settings on CN=E365M-DC01,CN=Servers,CN=DataCenter,CN=Sites,CN=Configuration,DC=Easy365Manager,DC=local failed because "No mapping for error code.";
metadata cleanup is continuing.
"CN=E365M-DC01,CN=Servers,CN=DataCenter,CN=Sites,CN=Configuration,DC=Easy365Manager,DC=local" removed from server "\\E365M-DC03.Easy365Manager.local"
metadata cleanup: quit
C:\Windows\system32\ntdsutil.exe: quit
PS C:\Users\mskadm>
Çözüm
Yukarıdaki adımlar, etki alanı denetleyicisi bilgilerinin Active Directory'den nasıl tamamen kaldırılacağını gösterir.
AD hizmetini güvenli bir şekilde kaldırmak için etki alanı denetleyiciniz çöktüyse veya dcpromo çalıştırmadan kapatıldıysa bu adımları uygulamanız hayati önem taşır.
Adımlar çok zor değil ancak üretim ortamında çalıştırırken dikkatli olun. Bu değişiklikleri yapmadan önce AD'nizin tam yedeğini aldığınızdan (ve onu nasıl geri yükleyeceğinizi bildiğinizden) emin olun.