Tw-city.info

IT Новости
0 просмотров
Рейтинг статьи
1 звезда2 звезды3 звезды4 звезды5 звезд
Загрузка...

Понижение контроллера домена

Как переименовать контроллер домена в Windows Server 2008 R2-3 часть через понижение контроллера домена

Как переименовать контроллер домена в Windows Server 2008 R2-3 часть через понижение контроллера домена

Как переименовать контроллер домена Windows Server 2008 R2

Всем привет, ранее я уже рассказывал как переименовать контроллер домена в Windows Server 2008 R2 часть через утилиту netdom или графический метод, существует еще один метод, слегка требующий побольше телодвижений, но очень эффективный, а именно как переименовать контроллер домена в Windows Server 2008 R2-3 часть через понижение контроллера домена.

Как видим, у меня есть контроллер домена dc03.msk.pyatilistnik.org, требуется его переименовать в dc02.msk.pyatilistnik.org. Хочу сказать, что есть небольшие требования к понижению:

  • Контроллер не должен быть последним Глобальным каталогом
  • Не должен быть Центром Сертификации
  • Не быть последним контроллером домена
  • Вы должны быть администратором домена или предприятия
  • Если контроллер домена выполняет какие-либо роли хозяина операций, перед понижением его роли передайте эти роли другому контроллеру

Как переименовать контроллер домена в Windows Server 2008 R2-3 часть через понижение контроллера домена-026

Посмотрим топологию в Active Directory, и видим dc01 и dc03

Как переименовать контроллер домена в Windows Server 2008 R2-3 часть через понижение контроллера домена-028

Открываем пуск и пишем dcpromo.

Как переименовать контроллер домена в Windows Server 2008 R2-3 часть через понижение контроллера домена-027

Открывается мастер установки доменных служб, жмем далее

Как переименовать контроллер домена в Windows Server 2008 R2-3 часть через понижение контроллера домена-029

Видим, что выскочило предупреждение

Как переименовать контроллер домена в Windows Server 2008 R2-3 часть через понижение контроллера домена-030

Чтобы это исправить открываем оснастку Active Directory Сайты и Службы. Идем в Default-First-Site-Name-Servers-NTDS Settings. И на вкладке Общие снимаем галку Глобальный каталог.

Как переименовать контроллер домена в Windows Server 2008 R2-3 часть через понижение контроллера домена-038

Снова запускаем мастер и видим, предупреждения нет, нас следующем шаге галку Удалить этот домен не ставим, так как у нас это не последний домен контроллер.

Как переименовать контроллер домена в Windows Server 2008 R2-3 часть через понижение контроллера домена-039

Ставим галку Удалить делегирование DNS.

Как переименовать контроллер домена в Windows Server 2008 R2-3 часть через понижение контроллера домена-040

вас попросят вести дополнительные данные

Как переименовать контроллер домена в Windows Server 2008 R2-3 часть через понижение контроллера домена-041

Вводим пароль администратора восстановления, который мы задавали при установке контроллера домена.

Как переименовать контроллер домена в Windows Server 2008 R2-3 часть через понижение контроллера домена-042

Смотрим сводные данные установки и жмем Далее.

Как переименовать контроллер домена в Windows Server 2008 R2-3 часть через понижение контроллера домена-043

Начнется процесс установки, ставим галку перезагрузка, чтобы она была автоматической.

Как переименовать контроллер домена в Windows Server 2008 R2-3 часть через понижение контроллера домена-044

После перезагрузки, открываем на первом контроллере ACtive Directory Пользователи и компьютеры и в топологии видим, только dc01

Как переименовать контроллер домена в Windows Server 2008 R2-3 часть через понижение контроллера домена-045

Проверяем не осталось ли лишнего в DNS, конкретно интересуют NS записи

Как переименовать контроллер домена в Windows Server 2008 R2-3 часть через понижение контроллера домена-046

Все контроллер домена был понижен, теперь через свойства системы переименуем сервер.

Как переименовать контроллер домена в Windows Server 2008 R2-3 часть через понижение контроллера домена-047

после чего перезагружаемся. Если хотите чтобы сервер снова стал DC, то смотрите Как добавить контроллер домена в существующий лес Active Directory Windows Server 2008 R2.

Вот так вот просто переименовать контроллер домена в Windows Server 2008 R2-3 часть через понижение контроллера домена.

alex_tesla

alex_tesla

В связи с переводом подконтрольных мне контроллеров домена на Win 2008 и появилась эта напоминалка.

Итак, у меня два контроллера домена под Win 2003 (ALPHA и BETHA). Необходимо поэтапно заменить их на контроллеры с Win 2008.
1. Третий сервер под Win Srv 2008 R2 Ent делаем третьим контроллером домена: если проблем с AD не было, то с этим шагом проблем быть тоже не должно, сервак сам напишет все команды, которые надо ввести в консоли хозяина схемы домена, чтобы модернизировать лес, после этого встанет как родной.
2. Понизим роль контроллера ALPHA до роли простого сервера предварительно лишив его максимального количества ролей (крайне не рекомендуется понижать роль контроллера без этих шагов):
2.1. Лишаем контроллер ALPHA роли глобального каталога и переносим (если необходимо) эту роль на новый DC1: Оснастка «Active Directory — сайты и службы» в ней раскрываем Sites -> Default-First-Site-Name -> Servers, находим сервер DC1 и в свойствах NTDS Settings ставим галку «Глобальный каталог» (если она еще не стоит), далее в соответствующих свойствах ALPHA такую же галку снимаем.
2.2. Переназначаем роль хозяина схемы: Оснастка «Схема Active Directory» (если ее нет в Администрировании, то вытаскивайте через mmc /a, там она точно есть). ПКМ на «Схема Active Directory», строка «Хозяин операций», вводим в диалоге имя нового хозяина, т.е. DC1.
2.3. Переназначаем роль «Хозяин именования домена»: Оснастка «Active Directory — домены и доверие», ПКМ на «Active Directory — домены и доверие», строка «Подключение к контроллеру домена» (или «Сменить контроллер Active Directory», если под 2008-й), вводим в диалоге имя нового хозяина именования домена, т.е. опять DC1, далее там же выбираем строку «Хозяин операций», проверяем имена на замену, если все верно — жмем «Изменить».
2.4. Переназначаем роль хозяина RID и роль эмулятора PDC: Оснастка «Active Directory — пользователи и компьютеры», ПКМ на «Active Directory — пользователи и компьютеры», строка «Подключение к контроллеру домена» (или «Сменить контроллер Active Directory», если под 2008-й) и выбираем DC1, опять ПКМ там же, строка «Все задачи», далее «Хозяева операций», вкладки RID и PDC. Проверяем правильность замены, если все нормально, жмем «Изменить».
2.5. Переназначения роли хозяина инфраструктуры проходит также как в п.2.4. с одним замечанием. Если хотя бы один контроллер в домене не выполняет роль глобального каталога, то именно он должен выполнять роль хозяина инфрастуктуры. Если глобальный каталог обслуживают все контроллеры, то роль хозяина инфраструктуры может нести любой. У меня, в связи с миграцией, сервер BETHA роль глобального каталога не несет, поэтому его и назначаю хозяином инфраструктуры.
3. На понижаемом контроллере запускаем dcpromo и, собственно, понижаем его роль.
4. После перезагрузки пониженного в правах сервера также не забываем удалить с него роль сервера DNS (и при необходимости почистить оставшиеся сервера от NS записей этого сервера), если таковая была и уже больше именно на нем не нужна.
5. Для понижения роли контроллера BETHA используем те же шаги.
6. Если лезут ошибки — курим доки MS.

Читать еще:  Настройка доменного имени

Удаляем неисправный контроллер домена при помощи утилиты NTDSUTIL

Нередки ситуации, когда системному администратору приходится вручную удалять контроллер домена из Active Directory. Такие ситуации возникают при физическом выходе из строя севера с ролью контроллера домена или другой нештатной ситуации. Естественно, наиболее предпочтительно удалить контроллер домена при помощи команды DCPROMO (подробно DCPROMO и ее параметрах) Однако, что же делать, если контроллер домена недоступен (выключен, сломался, недоступен по сети)?

Естественно, нельзя просто удалить учетную запись контроллера домена при помощи оснастки Active Directory User and Computer.

Для ручного удаления контроллера домена из Active Directory подойдет утилита NTDSUTIL. NTDSUTIL – это утилита командной строки, которая предназначена для выполнения различных сложных операций с ActiveDirectory, в том числе процедур обслуживания, управления и модификации Active Directory. Я уже писал об использовании Ntdsutil для создания снимков (snapshot) Active Directory.

Следующая инструкция позволит вручную удалить неисправный контроллер домена.

Примечание: при использовании NTDSUTIL не обязательно вводит команду целиком, достаточно ввести информацию, позволяющую однозначно идентифицировать команду, например вместо того, чтобы набирать metadata cleanup, можно набрать met cle, или m c

  • Откройте командную строку
  • Наберите

, где — имя работоспособного контроллера домена, хозяина операций

, где -где – номер неисправного контроллера домена (команда list servers отобразит номер сервера)

, где номер домена, в котором находится неисправный DC (команда list domains отобразит номер домена)

(вернемся в меню metadata cleanup)

( появится предупреждающее окно, следует убедится, что удаляется искомый контроллер домена)

  • Yes
  • Откройте консоль Active Directory Sites and Services
  • Разверните сайт, в котором находился ненужный DC
  • Проверьте, что данный контролер не содержит никаких объектов
  • Щелкните правой кнопкой по контроллеру и выберите Delete
  • Закройте консоль Active Directory Sites and Services
  • Откройте оснастку Active Directory Users and Computers
  • Разверните OU «Domain Controllers»
  • Удалите учетную запись компьютера неисправного контроллера домена из данной OU
  • Откройте оснастку DNS Manager
  • Найдите зону DNS, для которой ваш контроллер домена был DNS сервером
  • Щелкните правой кнопкой мыши по зоне и выберите Properties
  • Перейдите на вкладку серверов NameServers
  • Удалите запись неисправного DC
  • Нажмите ОК, для того чтобы удалить все оставшиеся DNS записи: HOST (A) или Pointer (PTR
  • Удостоверьтесь, что в зоне не осталось никаких DNS записей, связанных с удаленным контроллером домена
  • Вот и все, мы полностью удалили из DNS и Active Directory неисправный контроллер домена и все ресурсы, связанные с ним.

    Полное удаления недоступного контроллера домена Windows Server 2012

    Ситуация обратная, у меня в моей инфраструктуре вышел из строя (физически) DC и восстановить его не представляется возможным, чтобы у меня AD работало без ошибок, мне необходимо удалить данные о неисправном контроллере домена и все зачистить, чем мы с вами и займемся.

    Схема сети с неработающим контроллером в AD

    У меня есть инфраструктура Active Directory, есть домен msk.pyatilistnik.org и три контроллера: dc6, dc7, dc10. Последний как раз вышел из строя и находится вообще в другом сайте и его необходимо удалить, давайте я покажу как это правильно делать, так как просто нет возможности воспользоваться стандартной утилитой dcpromo,

    dc10 будет удален, но перед этим, нам нужно удостовериться, что все FSMO роли у нас будут доступны на работающих контроллерах домена. Узнать держателя FSMO ролей можно командой:

    Как видите в моем случае первые две роли схемы и именования доменов, находятся на корневом контроллере домена в другом домене, а вот нужные мне три роли, располагаются на неисправном DC, до которого я не могу достучаться, в таком случае нам необходимо будет захватить с него все роли и передать их работающим контроллерам домена, после чего удалить о нем всю информацию в Active Directory.

    Ранее я вам рассказывал как производится захват ролей FSMO, там было два метода графический через оснастку ADUC и с помощью утилиты ntdsutil. В оснастке ADUC вы увидите вот такую картину, что хозяин операций не доступен. Как производится принудительный захват ролей, читайте по ссылке слева.

    Теперь, когда все роли захвачены или переданы, то можно производить удаление всех старых данных.

    Если у вас уровень леса и домена Windows Server 2008 R2 и выше, то самый простой способ это удалить, объект компьютера из контейнера Domain Controllers, все старые метаданные будут удалены автоматически и вам не придется делать описанные ниже манипуляции. Но я хочу вам показать ручной способ, чтобы вы более глубоко понимали, что именно происходит и откуда удаляются данные о недоступном контроллере домена

    Удаляем контроллер с помощью NTDSutil

    Откройте командную строку от имени администратора.

    • Пишем команду ntdsutil
    • Далее нам необходимо зайти в режим metadata cleanup
    • Теперь вам необходимо подключиться к работающему контроллеру домена, пишем connections
    • Далее вводим connect to server и имя сервера, видим успешное подключение
    • Выходим из данного меню, введите q и нажмите enter.
    • Далее введите select operation target
    • Посмотрим список доменов командой List domain
    • Выберем нужный домен, select domain
    • Теперь поищем какие сайты у нас есть, делается это командой list sites
    • Выбираем нужный select site и номер
    • Посмотрим список серверов в сайте, list servers in site, у меня их 7, я выбираю нужный
    • select server и номер
    • Выходим из режима select operation target, введите q
    • Ну и собственно команда на удаление remove selected server

    У вас появится предупреждение, что “Вы действительно хотите удалить объект сервера, имя сервера. Это не последний сервер домена. Сервер должен постоянно работать автономно и не возвращаться в сеть обслуживания. При возвращении сервера в сеть обслуживания, объект сервера будет восстановлен.”

    Если вы думаете, что удалить контроллер домена 2012 r2 из ntdsutil, достаточно, то хвосты еще остаются. Первый хвост это сайты Active Directory, открываем данную оснастку

    Все теперь можно удалять, когда все связи устранены.

    Ну и последний шаг, это удаление записей в зоне DNS, вот пример записи “Сервер имен (NS)”,

    так же посмотрите папк:

    Все теперь, можно смело констатировать, что мы с вами правильно удалили неисправный контроллер домена Active Directory, не оставим хвостов. Проверяем теперь реплицацию, чтобы все было без ошибок.

    Заметки инженера.

    среда, 7 марта 2012 г.

    Понижение роли контроллера домена. Перенос контроллера на новый сервер.

    В данный статье рассматривается не только перенос контроллера домена на новый сервер, но и настройка DNS и доверительных отношений между доменами в разных организациях. Из опыта эксплуатации доменных сетей мы поняли, что лучший способ обеспечить работу доменной сети, это иметь несколько (минимум два) контроллера домена. Чем больше DC (domain controller), тем лучше. Итак, если пришло время перенести контроллер домена на другой сервер, то ничего нет проще.
    1) Запускаем dcpromo на новом сервере. Если серверов несколько, то на каждом.
    2) Передаем роли, по англ. FSMO (Flexible single-master operations) со старого сервера — новому.

    Этих ролей 5.
    1. Schema master (Хозяин схемы). Имея полномочия на этом сервере можно вносить изменения в схему. Это происходит при установке различных сервисов для AD. Например Exchange Server вносит изменения в схему, ISA Server, есть сервера для мониторинга и управления сетью SCCM Server и другие. Они тоже вносят изменения в схему. Если владелец этой роли будет недоступен, то внести изменения в схему не получится.
    2. Domain Naming Master (Хозяин операции именования доменов). Эта роль необходима для возможности создавать домены и поддомены в лесу.
    3. Relative ID Master (хозяин относительных идентификаторов). Это необходимо для возможности создания уникальных идентификаторов в домене.
    4. Primary Domain Controller Emulator (Эмулятор основного контроллера домена). Это важная роль. Именно она отвечает за работу с учетными записями пользователей и других объектов. Так же за политику безопасности. Если сервер, который владеет этой ролью недоступен, то не будет возможности создавать новых пользователей. Менять пароли и т.д. Однако сеть будет работать со старыми учетными данными прекрасно.
    5. Infrastructure Master (Хозяин инфраструктуры). Эта роль отвечает за передачу информации о домене другим контроллерам домена в рамках всего леса.

    Перед передачей ролей необходимо узнать на каким серверам они назначены. Для этого выполняем команды:
    dsquery server -hasfsmo schema
    dsquery server -hasfsmo name
    dsquery server -hasfsmo rid
    dsquery server -hasfsmo pdc
    dsquery server -hasfsmo infr
    dsquery server -forest -isgс
    Далее передача ролей. В сети я нашел интересный сайт, где человек описал порядок передачи ролей. Оказывается это важно. Если не соблюдать порядок передача может завершится с ошибками. Я это не проверял. Просто пользовался указанным порядком. Лучше всего для передачи использовать утилиту ntdsutil.exe. Это утилита обслуживания AD. У нее много полезных функций. Из них для наших целей мы будем использовать две. Одна, это для добровольной передачи ролей. Вторая для принудительного захвата ролей в случае если основной контроллер домена упал вместе со всеми своими ролями.
    Итак передача ролей :
    Команды запускаем на том сервере от которого хотим передать роли, то есть на хозяине ролей.
    ntdsutil.exe
    roles
    connection
    connect to server имя_сервера_кому_передаем_роли
    q
    После подключения к серверу видим fsmo maintenance: вводим команды передачи ролей.
    transfer naming master
    transfer infr master
    transfer RID master
    transfer schema master
    transfer PDC
    заканчиваем командой q (выход).
    Проверить в каком состоянии сервер глобального каталога можно командой dcdiag.
    Примером может служить такая команда: dcdiag /v /fix. Что на языке сервера означает провести диагностику и проверку доменных служб и по возможности исправить найденные ошибки.

    Что делать со старым сервером глобального каталога? По правильному его роль нужно понижать до стандартного сервера командой dcpromo. В нашем случае было просто выключение сервера (был на виртуальной машине). Передали роли на новый сервер, а про старый сервер не вспомнили до тех пор пока не стали понижать очередной сервер командой dcpromo, которая стала выдавать ошибки.

    Ссылка на основную публикацию
    ВсеИнструменты 220 Вольт
    Adblock
    detector
    ×
    ×