当前位置：首页 > 服务器 > 正文

ad主域损坏后无法删除主域服务器（ad域连接失败）

admin
服务器
2022-12-19 04:07:21
22

今天给各位分享ad主域损坏后无法删除主域服务器的知识，其中也会对ad域连接失败进行解释，如果能碰巧解决你现在面临的问题，别忘了关注本站，现在开始吧！

本文目录一览：

1、请问在主域服务器中能否删除备份域服务器？
2、域控制器降级失败后如何删除AD中的数据
3、主域控制器坏了，怎么办？
4、如何卸载AD域
5、俩个域控制器,副域控制器坏了,在主域控制器上怎么删除副域控制器的信息,让主域控制器继续运行

请问在主域服务器中能否删除备份域服务器？

二.这种情况你可以在一台DC上使用ntdsutil软件删除.不过你这种做法实际是是很危险的.因为虽然DC是平等的,但大家还是担当着不同的角色,这样一样,许多角色可以会当掉,你得重新设置了.

三.ntdsutil的用法见下面:

1.在命令行中，键入 ntdsutil。

2.在 ntdsutil: 提示符下键入 metadata cleanup，然后按 Enter 键。现在，需要连接到现有的域控制器，以便在上面删除故障 DC 中的 ntdsDSA 对象。

3.在 metadata cleanup 提示符下键入 connections，然后按 Enter 键。

4.键入 connect to server 服务器名，然后按 Enter 键。其中服务器名是从其上清除元数据的 DC（同一域中的任何工作正常的 DC）。

5.键入 quit，然后按 Enter 键。将返回元数据清除菜单。

6.键入 select operation target，然后按 Enter 键。

7.键入 list domains，然后按 Enter 键。将列出目录林中所有的域，其中每一个域都和一个编号相关联。

8.键入 select domain 编号，然后按 Enter 键，其中编号是与故障服务器所在的域对应的编号。

9.键入 list sites，然后按 Enter 键。

10.键入 select site 编号，然后按 Enter 键，其中编号是指该 DC 所在站点的编号。

11.键入 list servers in site，然后按 Enter 键。将列出该站点中所有的服务器，其中每一个服务器都有一个对应的编号。

12.键入 select server 编号，然后按 Enter 键，其中编号是指要删除的 DC。

13.键入 quit，然后按 Enter 键。将显示元数据清除菜单。

14.键入 remove selected server，然后按 Enter 键。具体的用法太长, 说了.

域控制器降级失败后如何删除AD中的数据

1.单击“开始”，指向“程序”，指向“附件”，然后单击“命令提示符”。2.在命令提示符处，键入 ntdsutil，然后按 Enter 键。3.键入metadata cleanup，然后按 Enter 键。根据所给出的选项，管理员可以执行删除操作，但在实施删除之前还必须指定另外一些配置参数。4.键入connections，然后按 Enter 键。此菜单用于连接将发生这些更改的具体服务器。如果当前登录的用户没有管理权限，可以在建立连接之前指定要使用的替代凭据。为此，请键入 set credsDomainNameUserNamePassword，然后按 Enter 键。如果密码为空，则键入 null 作为密码参数。5.键入connect to server servername，然后按 Enter 键。然后出现一条确认消息，说明已成功建立该连接。如果出现错误，则确认连接中所用的域控制器是否可用，以及您提供的凭据对该服务器是否有管理权限。注意：如果尝试连接的服务器正是要删除的服务器，那么在尝试删除第 15 步提到的服务器时，将显示以下错误信息： Error 2094. The DSA Object cannot be deleted0x20946.键入quit，然后按 Enter 键。将出现清除元数据菜单。7.键入select operation target，然后按 Enter 键。8.键入list domains，然后按 Enter 键。将显示一个列出目录林中所有域的列表，每一个域都有一个关联的编号。9.键入select domain number，然后按 Enter 键；其中 number 是与要删除的域相关联的编号。您选择的域用于确定要删除的服务器是否为该域的最后一个域控制器。10.键入list sites，然后按 Enter 键。将显示一个站点列表，每个站点都有一个关联的编号。11.键入select site number，然后按 Enter 键；其中 number 是与要删除的域相关联的编号。将出现一条确认消息，其中列出了所选的站点和域。12.键入list servers in site，然后按 Enter 键。将显示一个列出站点中所有服务器的列表，每个服务器都有一个关联的编号。13.键入select server number，其中 number 是与要删除的服务器关联的编号。将出现一条确认消息，其中列出所选的服务器、该服务器的域名服务器 (DNS) 主机名，以及要删除的服务器的计算机帐户的位置。14.键入quit，然后按 Enter 键。将出现清除元数据菜单。15.键入remove selected server，然后按 Enter 键。将出现一条确认消息，说明删除成功完成。如果出现以下错误信息： Error 8419 (0x20E3) The DSA object could not be found则说明“NTDS 设置”对象可能已从 Active Directory 中删除，原因是其他管理员删除了该“NTDS 设置”对象，或者在运行 DCPROMO 实用工具成功删除对象后再执行一次此操作。注意：尝试绑定到要删除的域控制器时，也可能会出现此错误。Ntdsutil 必须绑定到要用 metadata cleanup 删除的域控制器以外的其他域控制器。16.在每个菜单中键入 quit，退出 NTDSUTIL 实用工具。将出现一条确认消息，说明连接已成功断开。17.在DNS 的 _msdcs.root domain of forest 区域中删除 cname 记录。假定要重新安装并重新提升 DC，因此使用新的 GUID 和 DNS 中匹配的 cname 记录来创建新的“NTDS 设置”对象。您不希望现有 DC 使用旧的 cname 记录。最佳做法是删除主机名和其他 DNS 记录。如果已超出为脱机服务器分配的动态主机配置协议 (DHCP) 地址上所剩的租用时间，另一个客户端即可获得问题 DC 的 IP 地址。既然“NTDS 设置”对象已删除，因此可以删除计算机帐户、FRS 成员对象、_msdcs 容器中的 cname（或别名）记录、DNS 中的 A（或主机）记录、已删除的子域的 trustDomain 对象以及域控制器。 Windows 2000 Server 和 Windows Server 2003 的 Windows 支持工具功能中都附带有 Adsiedit 实用工具。要安装 Windows 支持工具，请按照下列步骤操作： ?Windows 2000 Server：在 Windows 2000 Server 安装光盘上，打开 Support/Tools 文件夹，双击“Setup.exe”，然后按照屏幕上的说明操作。Windows Server 2003：在 Windows Server 2003 安装光盘上，打开 Support/Tools 文件夹，双击“Suptools.msi”，单击“安装”，然后按照 Windows 支持工具安装向导中的步骤操作以完成安装。1.使用ADSIEdit 删除计算机帐户。为此，请按照下列步骤操作： a.单击“开始”，单击“运行”，在“打开”框中键入 adsiedit.msc，然后单击“确定”。b.展开“域 NC”容器。c.展开“DC=Your Domain Name, DC=COM, PRI, LOCAL, NET”。d.展开“OU=Domain Controllers”。e.右键单击“CN=domain controller name”，然后单击“删除”。如果在试图删除 DSA 对象时出现“DSA object cannot be deleted”错误信息，请更改 UserAccountControl 值。要更改 UserAccountControl 值，请在 ADSIEdit 中右键单击该域控制器，然后单击“属性”。在“请选择要查看的属性”下，单击“UserAccountControl”。单击“清除”，将该值更改为 4096，然后单击“设置”。现在您可以删除该对象了。注意：删除计算机对象时，也将删除 FRS 订户对象，因为它是计算机帐户的子对象。2.使用ADSIEdit 删除 FRS 成员对象。为此，请按照下列步骤操作： a.单击“开始”，单击“运行”，在“打开”框中键入 adsiedit.msc，然后单击“确定”。b.展开“域 NC”容器。c.展开“DC=Your Domain, DC=COM, PRI, LOCAL, NET”。d.展开“CN=System”。e.展开“CN=File Replication Service”。f.展开“CN=Domain System Volume (SYSVOL share)”。g.右键单击要删除的域控制器，然后单击删除。3.在DNS 控制台中，使用 DNS MMC 删除 DNS 中的 A 记录。A 记录也称为“主机”记录。要删除 A 记录，请右键单击 A 记录，然后单击“删除”。还要删除“_msdcs”容器中的 cname（也称为“别名”）记录。为此，请展开“_msdcs”容器，右键单击 cname，然后单击“删除”。重要说明：如果这是一台 DNS 服务器，请在名称服务器选项卡中删除对该 DC 的引用。为此，在 DNS 控制台中，在正向搜索区域下单击该域名，然后从名称服务器选项卡中删除该服务器。注意：如果有反向搜索区域，也要将服务器从这些区域中删除。4.如果删除的计算机是子域中的最后一个域控制器，而且该子域也已删除，则使用 ADSIEdit 删除该子域的 trustDomain 对象。为此，请按照下列步骤操作： a.单击“开始”，单击“运行”，在“打开”框中键入 adsiedit.msc，然后单击“确定”。b.展开“域 NC”容器。c.展开“DC=Your Domain, DC=COM, PRI, LOCAL, NET”。d.展开“CN=System”。e.右键单击“Trust Domain”对象，然后单击“删除”。5.使用“Active Directory 站点和服务”删除域控制器。为此，请按照下列步骤操作： a.启动“Active Directory 站点和服务”。b.展开“站点”。c.展开服务器的站点。默认站点为“Default-First-Site-Name”。d.展开“服务器”。e.右键单击域控制器，然后单击删除。另外，请考虑以下几点： ?如果删除的域控制器曾经是一台全局编录服务器，请评估指向这台脱机全局编录服务器的应用程序服务器是否必须指向一台活动的全局编录服务器。如果删除的 DC 曾经是一台全局编录服务器，请评估是否必须提升其他全局编录，以解决站点、域或林全局编录的负载问题。如果删除的 DC 曾经担任 Flexible Single Master Operation (FSMO) 角色，请将这些角色重新分配给一台活动 DC。如果删除的 DC 曾经是一台 DNS 服务器，请更新所有成员工作站、成员服务器以及其他可能使用过这台 DNS 服务器进行名称解析的 DC 上的 DNS 客户端配置。如果需要，请修改 DHCP 作用域，以反映出 DNS 服务器已删除。

主域控制器坏了，怎么办？

在多域控制器环境下，主域控制器由于硬件故障突然损坏，而又事先又没有做好备份，如何使额外域控制器接替它的工作，使Active Directory正常运行，并在硬件修理好之后，如何使损坏的主域控制器恢复。

________________________________________

Active Directory操作主机角色概述

环境分析

从AD中清除主域控制器DC-01.test.com 对象

在额外域控制器上通过ntdsutil.exe工具执行夺取五种FMSO操作

设置额外域控制器为GC（全局编录）

重新安装并恢复损坏主域控制器

附:用于检测AD中五种操作主机角色的脚本

________________________________________

一、Active Directory操作主机角色概述

Active Directory 定义了五种操作主机角色（又称FSMO）：

架构主机 schema master、

域命名主机 domain naming master

相对标识号 (RID) 主机 RID master

主域控制器模拟器 (PDCE)

基础结构主机 infrastructure master

而每种操作主机角色负担不同的工作，具有不同的功能：

架构主机

具有架构主机角色的 DC 是可以更新目录架构的唯一 DC。这些架构更新会从架构主机复制到目录林中的所有其它域控制器中。架构主机是基于目录林的，整个目录林中只有一个架构主机。

域命名主机

具有域命名主机角色的 DC 是可以执行以下任务的唯一 DC：

向目录林中添加新域。

从目录林中删除现有的域。

添加或删除描述外部目录的交叉引用对象。

相对标识号 (RID) 主机

此操作主机负责向其它 DC 分配 RID 池。只有一个服务器执行此任务。在创建安全主体（例如用户、

组或计算机）时，需要将 RID 与域范围内的标识符相结合，以创建唯一的安全标识符 (SID)。每一个

Windows 2000 DC 都会收到用于创建对象的 RID 池（默认为 512）。RID 主机通过分配不同的池来确保这

些 ID 在每一个 DC 上都是唯一的。通过 RID 主机，还可以在同一目录林中的不同域之间移动所有对象。

域命名主机是基于目录林的，整个目录林中只有一个域命名主机。相对标识号（RID）主机是基于域的，目录林中的每个域都有自己的相对标识号（RID）主机

PDCE

主域控制器模拟器提供以下主要功能：

向后兼容低级客户端和服务器，允许 Windows NT4.0 备份域控制器 (BDC) 加入到新的 Windows 2000 环境。本机 Windows 2000 环境将密码更改转发到 PDCE。每当 DC 验证密码失败后，它会与 PDCE 取得联系，以查看该密码是否可以在那里得到验证，也许其原因在于密码更改还没有被复制到验证 DC 中。

时间同步 — 目录林中各个域的 PDCE 都会与目录林的根域中的 PDCE 进行同步。

PDCE是基于域的，目录林中的每个域都有自己的PDCE。

基础结构主机

基础结构主机确保所有域间操作对象的一致性。当引用另一个域中的对象时，此引用包含该对象的

全局唯一标识符 (GUID)、安全标识符 (SID) 和可分辨的名称 (DN)。如果被引用的对象移动，则在域中担

当结构主机角色的 DC 会负责更新该域中跨域对象引用中的 SID 和 DN。

基础结构主机是基于域的，目录林中的每个域都有自己的基础结构主机

默认，这五种FMSO存在于目录林根域的第一台DC（主域控制器）上，而子域中的相对标识号 (RID) 主机、PDCE 、基础结构主机存在于子域中的第一台DC。

________________________________________

二、环境分析

公司Test.com（虚拟）有一台主域控制器DC-01.test.com，还有一台额外域控制器DC-02.test.com。现主域控制器（DC-01.test.com）由于硬件故障突然损坏，事先又没有DC-01.test.com的系统状态备份，没办法通过备份修复主域控制器（DC-01.test.com），我们怎么让额外域控制器（DC-02.test.com）替代主域控制器，使Acitvie Directory继续正常运行，并在损坏的主域控制器硬件修理好之后，如何使损坏的主域控制器恢复。

如果你的第一台DC坏了，还有额外域控制器正常，需要在一台额外域控制器上夺取这五种FMSO，并需要把额外域控制器设置为GC。

________________________________________

三、从AD中清除主域控制器DC-01.test.com对象

3.1在额外域控制器(DC-02.test.com)上通过ntdsutil.exe工具把主域控制器(DC-01.test.com)从AD中删除；

c:ntdsutil

ntdsutil: metadata cleanup

metadata cleanup: select operation target

select operation target: connections

server connections: connect to domain test.com

select operation target: list sites

Found 1 site(s)

0 - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com

select operation target: select site 0

Site - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com

No current domain

No current server

No current Naming Context

select operation target: List domains in site

Found 1 domain(s)

0 - DC=test,DC=com

Found 1 domain(s)

0 - DC=test,DC=com

select operation target: select domain 0

Site - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com

Domain - DC=test,DC=com

No current server

No current Naming Context

select operation target: List servers for domain in site

Found 2 server(s)

0 - CN=DC-01,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=te

st,DC=com

1 - CN=DC-02,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=te

st,DC=com

select operation target: select server 0

select operation target: quit

metadata cleanup:Remove selected server

出现对话框，按“确定“删除DC-01主控服务器。

metadata cleanup:quit

ntdsutil: quit

3.2使用ADSI EDIT工具删除Active Directory users and computers中的Domain controllers中DC-01服务器对象，

ADSI EDIT是Windows 2000 support tools中的工具，你需要安装Windows 2000 support tool，安装程序在windows 2000光盘中的support\tools目录下。打开ADSI EDIT工具，展开Domain NC[DC-02.test.com]，展开OU=Domain controllers，右击CN=DC-01，然后选择Delete，把DC-01服务器对象删除，如图1：

3.3 在Active Directory Sites and Service中删除DC-01服务器对象

打开Administrative tools中的Active Directory Sites and Service，展开Sites，展开Default-First-Site-Name，展开Servers，右击DC-01，选择Delete，单击Yes按钮，如图2：

________________________________________

四、在额外域控制器上通过ntdsutil.exe工具执行夺取五种FMSO操作

c:ntdsutil

ntdsutil: roles

fsmo maintenance: Select operation target

select operation target: connections

server connections: connect to domain test.com

select operation target: list sites

Found 1 site(s)

0 - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com

select operation target: select site 0

Site - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com

No current domain

No current server

No current Naming Context

select operation target: List domains in site

Found 1 domain(s)

0 - DC=test,DC=com

select operation target: select domain 0

Site - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com

Domain - DC=test,DC=com

No current server

No current Naming Context

select operation target: List servers for domain in site

Found 1 server(s)

0 - CN=DC-02,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=te

st,DC=com

select operation target: select server 0

select operation target: quit

fsmo maintenance:Seize domain naming master

出现对话框，按“确定“

fsmo maintenance:Seize infrastructure master

出现对话框，按“确定“

fsmo maintenance:Seize PDC

出现对话框，按“确定“

fsmo maintenance:Seize RID master

出现对话框，按“确定“

fsmo maintenance:Seize schema master

出现对话框，按“确定“

fsmo maintenance:quit

ntdsutil: quit

（注：Seize是在原FSMO不在线时进行操作，如果原FSMO在线，需要使用Transfer操作）

________________________________________

五、设置额外控制(DC-02.test.com)为GC（全局编录）

打开Administrative Tools中的Active Directory Sites and Services，展开Sites，展开Default-First-Site-Name，展开Servers，展开DC-02.test.com(额外控制器)，右击NTDS Settings选择Properties，然后在"Global Catalog"前面打勾，单击"确定"按钮，然后重新启动服务器。

________________________________________

六、重新安装并恢复损坏主域控制器

修理好DC-01.test.com损坏的硬件之后，在DC-01.test.com服务器重新安装Windows 2000 Server，安装好Windows 2000 Server之后，再运行Dcpromo升成额外的域控制器；如果你需要使DC-01.test.com担任五种FMSO角色，通过ntdsutil工具进行角色转换，进行Transfer操作就行了（注意：不能用Seize）。并通过Active Directory Sites and Services设置DC-01.test.com为GC，取消DC-02.test.com的GC功能。

建议domain naming master不要和RID master在一台DC上，而domain naming master同时必须为GC。