Ntdsutil 元数据清理

本文将逐步向您展示如何在终止域控制器后清理 Active Directory 元数据。

仅当您不打算使域控制器重新联机时才应执行列出的步骤。

清理包括从域分区中删除计算机帐户以及删除配置分区中的复制对象。

为了执行清理，我们使用 Ntdsutil 工具。 Ntdsutil 可在现有域控制器上找到，并且可以使用 RSAT 安装安装在客户端计算机上。

先决条件

确保您是企业管理员组的成员，并且您的命令提示符已使用管理员权限提升。通过运行“whoami /all”命令来检查两者：

PS C:\Users\mskadm> whoami /all

USER INFORMATION
----------------

User Name       SID
=============== =============================================
E365M\mskadm    S-1-5-21-3247909092-157580105-2477339510-1480


GROUP INFORMATION
-----------------

Group Name                                      Type             SID                                            Attributes
=============================================== ================ ============================================== ===============================================================
Everyone                                        Well-known group S-1-1-0                                        Mandatory group, Enabled by default, Enabled group
BUILTIN\Users                                   Alias            S-1-5-32-545                                   Mandatory group, Enabled by default, Enabled group
BUILTIN\Pre-Windows 2000 Compatible Access      Alias            S-1-5-32-554                                   Mandatory group, Enabled by default, Enabled group
BUILTIN\Administrators                          Alias            S-1-5-32-544                                   Mandatory group, Enabled by default, Enabled group, Group owner
NT AUTHORITY\REMOTE INTERACTIVE LOGON           Well-known group S-1-5-14                                       Mandatory group, Enabled by default, Enabled group
NT AUTHORITY\INTERACTIVE                        Well-known group S-1-5-4                                        Mandatory group, Enabled by default, Enabled group
NT AUTHORITY\Authenticated Users                Well-known group S-1-5-11                                       Mandatory group, Enabled by default, Enabled group
NT AUTHORITY\This Organization                  Well-known group S-1-5-15                                       Mandatory group, Enabled by default, Enabled group
LOCAL                                           Well-known group S-1-2-0                                        Mandatory group, Enabled by default, Enabled group
E365M\Domain Admins                             Group            S-1-5-21-3247909092-157580105-2477339510-512   Mandatory group, Enabled by default, Enabled group
E365M\Enterprise Admins                         Group            S-1-5-21-3247909092-157580105-2477339510-519   Mandatory group, Enabled by default, Enabled group
Mandatory Label\High Mandatory Level            Label            S-1-16-12288

请注意上面输出中组成员身份的最后两行！这表示企业管理员组的成员资格和凭据提升。

Ntdsutil 元数据清理

执行以下步骤以清除域中的域控制器元数据

1. 输入“ntdsutil”进入 Ntdsutil 交互式会话

2. 通过键入“metadata cleanup”切换到元数据清理上下文

3. 通过输入“选择操作目标”切换到操作目标选择上下文

4. 列出您的域并选择您的目标域

5. 列出您的 AD 站点并选择您的目标站点

6. 列出您的 AD 域控制器并选择您的目标域控制器

7. 输入“quit”退出操作目标选择上下文

8. 通过键入“删除选定服务器”请求清除选定服务器的元数据

9. 验证您的请求以完成清理

过时的域控制器现已从 Active Directory 的域和配置分区中删除。确保您不会再次将其上线。

样本输出

要查看一些示例命令，让我们尝试删除过时的域控制器“E365M-DC01”的元数据。

根据您的设置，上述命令的完整输出可能如下所示：

C:\Users\mskadm> ntdsutil
C:\Windows\system32\ntdsutil.exe: metadata cleanup
metadata cleanup: select operation target
select operation target: list domains
Found 1 domain(s)
0 - DC=Easy365Manager,DC=local
select operation target: select domain 0
No current site
Domain - DC=Easy365Manager,DC=local
No current server
No current Naming Context
select operation target: list sites
Found 2 site(s)
0 - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=Easy365Manager,DC=local
1 - CN=DataCenter,CN=Sites,CN=Configuration,DC=Easy365Manager,DC=local
select operation target: select site 1
Site - CN=DataCenter,CN=Sites,CN=Configuration,DC=Easy365Manager,DC=local
Domain - DC=Easy365Manager,DC=local
No current server
No current Naming Context
select operation target: list servers in site
Found 2 server(s)
0 - CN=E365M-DC01,CN=Servers,CN=DataCenter,CN=Sites,CN=Configuration,DC=Easy365Manager,DC=local
1 - CN=E365M-DC02,CN=Servers,CN=DataCenter,CN=Sites,CN=Configuration,DC=Easy365Manager,DC=local
select operation target: select server 0
Site - CN=DataCenter,CN=Sites,CN=Configuration,DC=Easy365Manager,DC=local
Domain - DC=Easy365Manager,DC=local
Server - CN=E365M-DC01,CN=Servers,CN=DataCenter,CN=Sites,CN=Configuration,DC=Easy365Manager,DC=local
        DSA object - CN=NTDS Settings,CN=E365M-DC01,CN=Servers,CN=DataCenter,CN=Sites,CN=Configuration,DC=Easy365Manager,DC=local
        DNS host name - Easy365Manager-DC01.Easy365Manager.local
        Computer object - CN=E365M-DC01,OU=Domain Controllers,DC=Easy365Manager,DC=local
No current Naming Context
select operation target: quit
metadata cleanup: remove selected server
Transferring / Seizing FSMO roles off the selected server.
Removing FRS metadata for the selected server.
Searching for FRS members under "CN=E365M-DC01,OU=Domain Controllers,DC=Easy365Manager,DC=local".
Deleting subtree under "CN=E365M-DC01,OU=Domain Controllers,DC=Easy365Manager,DC=local".
The attempt to remove the FRS settings on CN=E365M-DC01,CN=Servers,CN=DataCenter,CN=Sites,CN=Configuration,DC=Easy365Manager,DC=local failed because "No mapping for error code.";
metadata cleanup is continuing.
"CN=E365M-DC01,CN=Servers,CN=DataCenter,CN=Sites,CN=Configuration,DC=Easy365Manager,DC=local" removed from server "\E365M-DC03.Easy365Manager.local"
metadata cleanup: quit
C:\Windows\system32\ntdsutil.exe: quit
PS C:\Users\mskadm>

结论

上述步骤向您展示了如何从 Active Directory 中完全删除域控制器信息。

如果您的域控制器崩溃或关闭而未运行 dcpromo 来安全删除 AD 服务，则执行这些步骤至关重要。

这些步骤并不太难，但在生产环境中运行时要小心。在进行这些更改之前，请确保您拥有 AD 的完整备份（并知道如何恢复它）。