域控制器降级失败后,如何删除 Active Directory 中的数据
当DC无法正常降级时
在Windows Server 2003 和Windows 2000 Server 中使用Active Directory 安装向导强制降级时，域控制器无法正常降级查看本文应用于的产品系统提示。
本篇文章的内容可能不适用您的电脑。
重要说明：本文包含有关如何修改注册表的信息。
修改注册表之前，一定要先进行备份，并且一定要知道在发生问题时如何还原注册表。
有关如何备份、还原和修改注册表的更多信息，请单击下面的文章编号，以查看Microsoft 知识库中相应的文章：256986Microsoft Windows 注册表说明本页∙症状∙原因∙解决方案∙替代方法o Windows 2000 域控制器o Windows Server 2003 域控制器o Windows Server 2003 Service Pack 1 增强功能∙状态∙更多信息展开全部| 关闭全部Microsoft Windows 2000 或Microsoft Windows Server 2003 域控制器可能无法通过使用Active Directory 安装向导(Dcpromo.exe) 正常降级。
回到顶端如果所需的相关项或操作失败，可能会出现此现象。
这包括网络连接、名称解析、身份验证、Active Directory 目录服务复制或Active Directory 中关键对象的位置等。
回到顶端要解决此问题，请确定阻碍Windows 2000 或Windows Server 2003 域控制器正常降级的原因，然后再次尝试使用Active Directory 安装向导将域控制器降级。
回到顶端如果不能解决此问题，可以使用以下变通方法对域控制器执行强制降级，以保留操作系统及其中任何应用程序的安装。
警告：在使用以下任一变通方法之前，请确保您可以在目录服务还原模式下成功启动。
否则，在您强制降级该计算机后，您将无法登录。
如果用户忘记了目录服务还原模式的密码，可以通过使用Winnt\System32 文件夹中的Setpwd.exe 实用工具来重置密码。
活动目录(Active_Directory)域故障解决实例
这部分内容将以实例的形式，介绍活动目录（Active Directory）的域故障排除，基本上遵循由易到难，由简到繁的顺序来讲解讨论。
Q1、客户机无法加入到域？一、权限问题。
要想把一台计算机加入到域，必须得以这台计算机上的本地管理员（默认为administrator）身份登录，保证对这台计算机有管理控制权限。
普通用户登录进来，更改按钮为灰色不可用。
并按照提示输入一个域用户帐号或域管理员帐号，保证能在域内为这台计算机创建一个计算机帐号。
二、不是说“在2000/03域中，默认一个普通的域用户（Authenticated Users）即可加10台计算机到域。
”吗？这时如何在这台计算机上登录到域呀！显然这位网管误解了这名话的意思，此时计算机尚未加入到域，当然无法登录到域。
也有人有办法，在本地上建了一个与域用户同名同口令的用户，结果可想而知。
这句话的意思是普通的域用户就有能力在域中创建10个新的计算机帐号，但你想把一台计算机加入到域，首先你得对这台计算机的管理权限才行。
再有就是当你加第11台新计算机帐号时，会有出错提示，此时可在组策略中，将帐号复位，或干脆删了再新建一个域用户帐号，如joindomain。
注意：域管理员不受10台的限制。
三、用同一个普通域帐户加计算机到域，有时没问题，有时却出现“拒绝访问”提示。
这个问题的产生是由于AD已有同名计算机帐户，这通常是由于非正常脱离域，计算机帐户没有被自动禁用或手动删除，而普通域帐户无权覆盖而产生的。
解决办法：1、手动在AD中删除该计算机帐户；2、改用管理员帐户将计算机加入到域；3、在最初预建帐户时就指明可加入域的用户。
四、域xxx不是AD域，或用于域的AD域控制器无法联系上。
在2000/03域中，2000及以上客户机主要靠DNS来查找域控制器，获得DC的IP 地址，然后开始进行网络身份验证。
DNS不可用时，也可以利用浏览服务，但会比较慢。
2000以前老版本计算机，不能利用DNS来定位DC，只能利用浏览服务、WINS、lmhosts文件来定位DC。
完全删除WSUS3.0的办法
完全删除wsus3.0升级域控或降级域控后，wsus 服务通常会失效，只能通过手工彻底删除wsus3.0 然后再重新安装，下面是经过数次尝试后总结出来的详细操作步骤：1、HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Update Services如果没有其他数据库，请删除：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Microsoft SQL Server 。
进行第三步的时候，可能会卸载不成功，建议先到注册表删除以上的项。
2、打开IIS 管理控制台，删除WSUS 站点及应用程序池( wsuspool )。
3、要删除Window Internal Database 服务, 请运行下面的命令行：msiexec /x {CEB5780F-1A70-44A9-850F-DE6C4F6AA8FB} callerid=ocsetup.exe4、在特殊情况下，如果WSUS 不能通过添加/ 删除程序进行删除，我们只好通过手工方式清除WSUS 的组件。
a)运行下面的命令行。
2C0D7E35-EE6E-4dc7-BA13-2C68AEDEB59D 是WSUS3.0 的产品码：Msizap T {2C0D7E35-EE6E-4dc7-BA13-2C68AEDEB59D}MSIZAP 工具需要自己下载(将msizp.exe copy 到C 盘根目录，用命令行来运行它)b)在下面的注册表中删除所有WSUS 开头的服务名称：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servicesc)请重启机器。
d)查找注册表，删除所有包含“ Update Services ”的键值。
e)删除安装目录：C:\Program Files\Update Servicesf)重新安装WSUS。
g)重装完成后wsus无法与客户端取得通信，此时需要修改wsus站点的权限，勾选读取和目录浏览，目录安全性设置匿名访问用户为domain name\IUSR_xxxxx ，保存后与客户机通信恢复正常。
主域控损坏Active Directory转移
手工删除Active Directory 数据三、我们在上一篇博文中已经把实验环境搭建好了，现在万事具备只欠损坏主域控制器，下面我们关掉主域控制器（DENVER）。
如下图所示：先在FIRENZE的Active Directory中把DENVER删除掉，使用“ntdsutil”工具，打开FIRENZE在命令行中输入“ntdsutil”命令后，如果记不清使用什么命令，可以使用？问一下。
使用“metadata cleanup”清理不使用的服务器的对象使用“connections”连接到一个特定域控制器使用“connect to server firenze”连接到自己，使用“quit”退出到上一级菜单中。
使用“select operation target”选择站点使用“list sites”就会显示出所有的站点，我们只有一个站点，这里的站点是用0代表。
使用“select site 0”就是选中站点了。
使用“list domains in site”列出所选站点中的域，只有 一个域，还是用0代表。
使用“select domain 0”选中这个域。
使用“list server for domain in site”列出所选域和站点中的服务器，列出了主域控制器DENVER和额外域控制器FIRENZE，还是用数字0和1代表。
使用“select server 0”就是选中了DENVER，因为我们是在删除主DENVER。
我们想要选的服务器已经选中了，使用“quit”退出到上一个菜单中。
使用“remove selected server”删除所先的对象DENVER，出现了一个确认对话框，选择“是”。
最后使用“quit”命令退出就可以了。
我们打开“Active Directory 站点和服务”下把“DENVER”选中，右击“删除”。
出现一个对话框,选择“是”现在“DENVER”已经没有了，展开site->default-first-site-name->servers，展开FIRENZE，右击“NTDS Settings”点“属性”，勾上全局编录前面的勾，点确定，如图所示：现在把“全局编录”也转到FIRENZE上了。
删除失效的域控
执行在Ad服务与站点中如图在只读域控制器的NTDS的右边RODC上右击更改无效的复制源DNS修改要在DNS记录中删除win08-1的信息在辅助域控的只读DNS设置在DNS-〉win08-2上右击属性将类型辅助区域更改为主要区域如图从AD中清除主域控制器对象3.1在额外域控制器()上通过ntdsutil.exe工具把主域控制器()从ＡＤ中删除；c:>ntdsutilntdsutil:metadata cleanupmetadata cleanup:select operation targetselect operation target:connectionsserver connections:connect to domain server connections:quitselect operation target:list sitesFound1site(s)0-CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=comselect operation target:select site0Site-CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=comNo current domainNo current serverNo current Naming Contextselect operation target:List domains in siteFound1domain(s)0-DC=test,DC=comFound1domain(s)0-DC=test,DC=comselect operation target:select domain0Site-CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com Domain-DC=test,DC=comNo current serverNo current Naming Contextselect operation target:List servers for domain in siteFound2server(s)0-CN=DC-01,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC =test,DC=com1-CN=DC-02,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC =test,DC=comselect operation target:select server０select operation target:quitmetadata cleanup:Remove selected server出现对话框，按“确定“删除DC-01主控服务器。
一步一步删除域残留信息
一步一步删除域残留信息去年《加入、升降级域故障的解决》一文讲述了降级失败后如何强制删除额外域控制器。
如果仍然想将计算机B（降级后）不改名称加入到原主域中，那就需要手动清除残留在原主域控制器的信息，清除方法如下：在主域服务器上单击“开始→运行”，输入“cmd”后点“确定”。
1.在命令提示符下，输入ntdsutil，然后按回车键。
2.接着输入metadata cleanup按回车键。
3.再输入connections按回车键，此菜单是用于连接将在其上进行这些更改的具体服务器。
4.输入connect to server主域服务器完整的计算机名称，你会收到一条说明该连接已经成功建立的确认消息。
5.输入quit，然后按回车键。
将显示Metadata Cleanup菜单。
6.输入select operation target，然后按回车键。
7.输入list domains，然后按回车键。
将显示一个列出目录林中所有域的列表，每一个域都有一个关联的编号。
8.输入select domain 编号，然后按回车键，其中编号是与域关联的编号，要删除的服务器是该域的成员。
选择的域用于确定正在删除的服务器是否为该域的最后一个域控制器。
9.输入list sites，然后按回车键。
将显示一个站点列表，每一个站点都有一个关联的编号。
10.输入select site 编号，然后按回车键，其中编号是与站点关联的编号，要删除的服务器是该站点的成员。
你会收到一条列出所选站点和域的确认消息。
11.输入list servers in site，然后按回车键。
将显示一个列出站点中所有服务器的列表，每一个服务器都有一个关联的编号。
12.输入 select server 编号，其中编号是与要删除的服务器（计算机B）关联的编号。
你会收到一条确认消息，其中列出所选的服务器、该服务器的“域名服务器” DNS 主机名，以及要删除的服务器（计算机B）账户的位置。
（ActiveDirectory）域故障解决实例（二）
（ActiveDirectory）域故障解决实例（二）Q18、如何清理AD数据库中的垃圾对象。
如果我们非正常卸载AD子域、DC等，就会在AD元数据库中留下垃圾。
比如上面的例子，又比如未经AD 卸载就把DC计算机的系统重做了。
这些垃圾对象一般来讲无碍大局，但如果我们想优化AD的性能，不想给用户带来不必要的麻烦（比如用户选择登录到已经不存在的子域），就可以利用ntdsutil工具进行元数据库清理（metadata cleanup），来删除垃圾对象。
具体操作如下：1、开始/运行：cmd，在命令行下键入ntdsutil。
说明：（1）直接，开始/运行：ntdsutil，也可以。
（2）进行元数据库清理，不要进到目录恢复模式下。
（3）进行元数据库清理，可以在非DC的2000/XP/03计算机上进行。
但有些操作（如使用ntdsutil工具进行授权恢复、整理移动AD 库文件）必须在DC上进行。
（4）在ntdsutil的每级菜单下都可以通过键入：？或HELP，查看本级菜单下可用的命令。
2、在ntdsutil:提示符下，键入metadata cleanup，然后按ENTER。
说明：ntdsutil是个分层的多级命令行工具，用户在键入名字时，可简写，只要不同于本级命令中的其它命令即可。
比如上面的命令metadata cleanup可简写为m c。
3、在metadata cleanup:提示符下，键入connections，然后按ENTER。
4、在server connections:提示符下，键入connect to server servername，然后按ENTER。
说明：（1）其中servername是指域控制器的DNS名称，用主机名或FQDN均可。
注意：虽然联机说明中提到了可以用IP去连，但实际上发现用IP去连接，会出现参数不正确的出错提示。
（2）在这里要连接的DC，应是一个正常工作的、可操作的DC，而不是你要清理的那个DC对象。
域控制器降级操作指南
域控制器降级操作指南服务器域降级操作域控制器降级操作指南1. Windows Server 2003 域控制器在默认情况下支持强制降级。
单击“开始”，单击“运行”，然后键入以下命令：dcpromo /forceremoval2. 单击“确定”。
3. 在“欢迎使用Active Directory 安装向导”页中，单击“下一步”。
4. 在“强制删除Active Directory”页中，单击“下一步”。
5. 在“管理员密码”中，键入您要为本地SAM 数据库的管理员帐户分配的密码和确认密码，然后单击“下一步”。
6. 在“摘要”中，单击“下一步”。
7. 在林中继续存在的域控制器上，对已降级的域控制器执行元数据清除。
如果您通过使用Ntdsutil中的删除选定域命令从林中删除了某个域，请验证林中的所有域控制器和全局编录服务器都已彻底删除了所有指向您刚删除的域的对象和引用，然后再使用相同的域名将一个新域提升到同一林中。
Windows 2000 Service Pack 3 (SP3) 及更早的全局编录服务器删除对象和命名上下文的速度要明显比Windows Server 2003 慢。
如果在删除了Active Directory 的计算机上的资源访问控制项(ACE) 是基于域本地组的，则可能必须重新配置这些权限，因为这些组对成员服务器或独立服务器来说是不可用的。
如果您计划在该计算机上安装Active Directory 以使其成为原来的域中的域控制器，则您不必再配置访问控制列表(ACL)。
如果您希望将该计算机保留为成员服务器或独立服务器，则必须转换或替换基于域本地组的任何权限。
有关从域控制器中删除Active Directory 后对权限有何影响的更多信息，请单击下面的文章编号，以查看Microsoft 知识库中相应的文章。
使用 dcpromo /forceremoval 命令后，在继续存在的域控制器上不会删除被降级的计算机的元数据。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
域控制器降级失败后，如何删除Active Directory 中的数据本文介绍在域控制器降级失败后，如何删除Active Directory 中的数据。
警告：如果使用“ADSI 编辑”管理单元、LDP 实用工具或任何其他LDAP 版本3 客户端，并且不恰当地修改了Active Directory 对象的属性，则可能造成严重问题。
要解决这些问题，您可能需要重新安装Microsoft Windows 2000 Server、Microsoft Windows Server 2003、Microsoft Exchange 2000 Server 或Microsoft Exchange Server 2003，或者Windows 和Exchange 二者都需要重新安装。
Microsoft 不保证能够解决因为Active Directory 对象属性修改不当而导致的问题。
修改这些属性需要您自担风险。
Active Directory 安装向导(Dcpromo.exe) 用于将服务器提升为域控制器，以及将域控制器降级为成员服务器（或者在该域控制器是域中的最后一个域控制器时，将其降级为工作组中的独立服务器）。
作为降级过程的一部分，此向导会将该域控制器的配置数据从Active Directory 中删除。
此数据的形式是“NTDS 设置”对象，在“Active Directory 站点和服务”中作为服务器对象的一个子对象存在。
此信息位于Active Directory 的下列位置：CN=NTDSSettings,CN=<servername>,CN=Servers,CN=<sitename>,CN=Sites,CN=Configuration,DC=<domain> ...“NTDS 设置”对象的属性包括：代表如何针对域控制器的复制伙伴标识域控制器的数据、计算机中保存的命名上下文、域控制器是否为全局编录服务器，以及默认查询策略。
“NTDS 设置”对象也是一个容器，其中可以包含代表域控制器的直接复制伙伴的子对象。
该数据是域控制器在环境中运行所必需的，但域控制器降级后就不再使用该数据了。
如果“NTDS 设置”对象未正确删除（例如，如果在降级尝试中错误地删除“NTDS 设置”对象），则管理员可以手动删除服务器对象的元数据。
在Windows Server 2008 和Windows Server 2008 R2 中，管理员可以通过删除Active Directory 用户和计算机管理单元中的服务器对象，删除服务器对象的元数据。
在Windows Server 2003 和Windows 2000 Server 中，管理员可以使用Ntdsutil.exe 实用工具手动删除“NTDS 设置”对象。
以下步骤列出了在特定域控制器的Active Directory 中删除“NTDS 设置”对象的过程。
在每个Ntdsutil 菜单上，管理员键入help 可以获取有关可用选项的详细信息。
回到顶端Windows Server 2003 Service Pack 1 (SP1) 或更高版本的Service Pack – Ntdsutil.exe 的增强版本包含在Windows Server 2003 的Service Pack 1 或更高版本Service Pack 中的Ntdsutil.exe 版本已经得到增强，可完成元数据清除过程。
在运行元数据清除时，SP1 或更高版本Service Pack 中包含的Ntdsutil.exe 版本将执行下列操作：删除“NTDSA 设置”或“NTDS 设置”主题。
删除现有目标DC 用于从要删除的源DC复制数据的入站AD 连接对象。
删除计算机帐户。
删除FRS 成员对象。
删除FRS 订阅者对象。
尝试获取由要删除的DC 所拥有的灵活单操作主机角色（又称为灵活单主机操作或FSMO）。
警告：在手动删除任何服务器的“NTDS 设置”对象之前，管理员还必须确保在降级之后已进行了复制。
错误使用Ntdsutil 实用工具可能导致Active Directory 功能的部分或全部丧失。
回到顶端过程1：仅Windows Server 2003 SP1 或更高版本Service Pack单击“开始”，指向“程序”，指向“附件”，然后单击“命令提示符”。
在命令提示符处，键入ntdsutil，然后按Enter。
键入metadata cleanup，然后按Enter。
根据所给出的选项，管理员可以执行删除操作，但在实施删除之前还必须指定另外一些配置参数。
键入connections，然后按Enter。
此菜单用于连接将发生这些更改的具体服务器。
如果当前登录的用户没有管理权限，可以在建立连接之前指定要使用的替代凭据。
为此，请键入set credsDomainNameUserNamePassword，然后按Enter。
如果密码为空，则键入null 作为密码参数。
键入connect to server servername，然后按Enter。
然后出现一条确认消息，说明已成功建立该连接。
如果出现错误，则确认连接中所用的域控制器是否可用，以及您提供的凭据对该服务器是否有管理权限。
注意：如果尝试连接的服务器正是要删除的服务器，那么在尝试删除步骤15 提到的服务器时，将显示以下错误消息：错误2094。
不能删除DSA 对象。
0x2094键入quit，然后按Enter。
将出现“清除元数据”菜单。
键入select operation target，然后按Enter。
键入list domains，然后按Enter。
将显示一个列出目录林中所有域的列表，每一个域都有一个关联的编号。
键入select domain number，然后按Enter；其中number 是与要删除的服务器所属的域相关联的编号。
您选择的域将用于确定要删除的服务器是否为该域的最后一个域控制器。
键入list sites，然后按Enter。
将出现一个站点列表，其中每个站点都带有一个关联的编号。
键入select site number，然后按Enter；其中number 是与要删除的服务器所属站点相关联的编号。
将出现一条确认消息，其中列出了所选的站点和域。
键入list servers in site，然后按Enter。
将显示一个列出站点中所有服务器的列表，每个服务器都有一个关联的编号。
键入select server number，其中number 是与要删除的服务器关联的编号。
将出现一条确认消息，其中会列出所选的服务器、该服务器的域名系统(DNS) 主机名以及要删除的服务器的计算机帐户位置。
键入quit，然后按Enter。
将出现“清除元数据”菜单。
键入remove selected server，然后按Enter。
将出现一条确认消息，说明删除成功完成。
如果出现以下错误消息，则说明“NTDS 设置”对象可能已从Active Directory 中删除，原因可能是其他管理员删除了该“NTDS 设置”对象，或者在运行DCPROMO 实用工具成功删除该对象后又执行了一次此操作。
错误8419 (0x20E3)找不到DSA 对象注意：当您尝试绑定到要删除的域控制器时，也可能会出现此错误。
Ntdsutil 绑定到的域控制器不能是要通过清除元数据来删除的域控制器。
键入quit，然后在每个菜单上按Enter，退出Ntdsutil 实用工具。
将出现一条确认消息，说明连接已成功断开。
在DNS 的_msdcs. 目录林的根域区域中删除cname 记录。
假定要重新安装并重新提升DC，将创建一个新的“NTDS 设置”对象，它将具有新的GUID 并在DNS 中拥有一个匹配的cname 记录。
如果不希望现有DC 使用旧的cname 记录。
最佳做法是删除主机名和其他DNS 记录。
如果已超出为脱机服务器分配的动态主机配置协议(DHCP) 地址上所剩的租用时间，另一个客户端即可获得问题DC 的IP 地址。
在DNS 控制台中，使用DNS MMC 删除DNS 中的A 记录。
A 记录也称为“主机”记录。
若要删除A 记录，请右键单击A 记录，然后单击“删除”。
另外，请删除_msdcs 容器中的cname 记录。
为此，请展开“_msdcs”容器，右键单击“cname”，然后单击“删除”。
重要说明：如果这是DNS 服务器，请在“名称服务器”选项卡下删除对该DC 的引用。
为此，在DNS 控制台中，在“正向查找区域”下单击该域名，然后从“名称服务器”选项卡中删除该服务器。
注意：如果有反向查找区域，也要将服务器从这些区域中删除。
如果删除的计算机是子域中的最后一个域控制器，而且该子域也已删除，请使用ADSIEdit 删除该子域的trustDomain 对象。
为此，请按照下列步骤操作：单击“开始”，单击“运行”，键入adsiedit.msc，然后单击“确定”。
展开“域NC”容器。
展开“DC=您的域, DC=COM, PRI, LOCAL, NET”。