Cómo quitar (degradar) un controlador de dominio en Active Directory

En este artículo, mostraremos cómo quitar (degradar) correctamente un controlador de dominio de Active Directory en Windows Server 2022/2019/2016/2012R2. Al quitar un controlador de dominio, generalmente se usa uno de los siguientes escenarios.

Eliminación de un controlador de dominio de Active Directory y un rol ADDS (paso a paso)

Si va a desmantelar uno de sus controladores de dominio AD (DC común o controlador de dominio de solo lectura - RODC), debe realizar algunos pasos preparatorios antes de degradar su controlador de dominio a un servidor miembro y eliminar el rol de Servicios de dominio de Active Directory (ADDS).

1. Verifique el estado de su controlador de dominio, Active Directory y replicación. Hay un artículo separado sobre cómo verificar la salud y la replicación de un controlador de dominio en AD usando

   dcdiag

   ,

   repadmin

   y secuencias de comandos de PowerShell. Solucione los problemas si los encuentra. Para mostrar una lista de errores en un controlador de dominio específico, ejecute el siguiente comando:

   dcdiag.exe /s:mun-dc03 /q

2. Asegúrese de que las funciones de AD FSMO no se estén ejecutando en el controlador de dominio:

   netdom query fsmo

   

   Si es necesario, mueva los roles de FSMO a otro DC.

3. Asegúrese de que la función del servidor DHCP no se esté ejecutando en el controlador de dominio. Si es así, migrarlo a otro servidor;

4. Cambie la configuración de DNS para los ámbitos de DHCP que asignan direcciones IP a los clientes. Cambie la configuración de los ámbitos DHCP para que asignen una dirección de servidor DNS diferente (espere a que expire el tiempo de concesión de IP para que todos los clientes obtengan una nueva configuración de servidor DNS). Puede mostrar una lista de servidores DNS configurados para todas las zonas (Opción de servidores DNS 006) en un servidor mediante el siguiente comando de PowerShell (obtenga más información sobre cómo administrar DHCP en Windows Server mediante PowerShell):

   Get-DhcpServerv4Scope -ComputerName mun-dhcp.a-d.site| Get-DhcpServerv4OptionValue | Where-Object {$_.OptionID -like 6} | FT Value

5. Algunos clientes pueden configurarse manualmente para usar un servidor DNS en el DC (dispositivos de red, servidores, impresoras, escáneres, etc.). Debe encontrar dichos dispositivos y reconfigurarlos en otro servidor DNS. Es más fácil encontrar dichos dispositivos accediendo a su servidor DNS por sus registros. Aquí hay un artículo detallado: Cómo auditar consultas DNS de clientes en Windows Server;

6. Si se está ejecutando una función de autoridad de certificación en el controlador de dominio, migrarla a otro servidor;

7. Si otros servicios (como un servidor KMS, Radius/NPS, WSUS, etc.) se están ejecutando en el controlador de dominio, decida si desea moverlos a otros hosts;

8. Utilizar el

   Test-ADDSDomainControllerUninstallation

   cmdlet para asegurarse de que existan dependencias o problemas con los que pueda encontrarse al eliminar un controlador de dominio. Si el cmdlet devuelve Éxito, puede continuar.

   

Ahora está listo para degradar el controlador de dominio a un servidor miembro. Antes de Windows Server 201, se usaba el comando dcpromo para esto. En las ediciones modernas de Windows Server, esta herramienta está obsoleta y no se recomienda su uso.

Puede degradar su controlador de dominio utilizando el Administrador de servidores. Abra el Administrador del servidor -> Funciones y funciones remotas -> desmarque Servicios de dominio de Active Directory en la sección Funciones del servidor.

Haz clic en Degradar este controlador de dominio.

Aparece el asistente de configuración de servicios de dominio de Active Directory. La opción Forzar la eliminación de este controlador de dominio se usa para eliminar el último controlador de dominio en un dominio. No lo use. Posteriormente eliminaremos todos los metadatos de DC manualmente.

En la siguiente pantalla, marque la opción Continuar con la eliminación.

Luego configure la contraseña del administrador del servidor local.

Luego, solo tiene que hacer clic en Degradar.

Espere hasta que termine la degradación del controlador de dominio. Aparecerá el siguiente mensaje: Se degradó con éxito el controlador de dominio de Active Directory.

Reinicie su host de Windows Server. Abra el Administrador del servidor nuevamente para eliminar la función de Servicios de dominio de Active Directory.

Al eliminar la función ADDS, los siguientes componentes se eliminarán de forma predeterminada:

• Módulo de Active Directory para Windows PowerShell

• Función de herramientas de AD DS y AD LDS

• Centro de administración de Active Directory

• Herramientas de línea de comandos y complementos de AD DS

• Servidor DNS

• Consola de administración de directivas de grupo (

  gpmc.msc

  )

Ejecute la consola Usuarios y equipos de Active Directory (dsa.msc) y asegúrese de que la cuenta del equipo del controlador de dominio se eliminó de la unidad organizativa Controladores de dominio.

También puede desinstalar un controlador de dominio utilizando el

Uninstall-ADDSDomainController

Cmdlet de PowerShell. El comando le pedirá que establezca una contraseña de administrador local y confirme la degradación de DC.

Después del reinicio, simplemente eliminará el rol ADDS usando PowerShell:

Uninstall-WindowsFeature AD-Domain-Services -IncludeManagementTools

A continuación, abra Sitios y servicios de Active Directory (

dssite.msc

), busque el sitio del controlador de dominio y su cuenta en la sección Servidores. Expanda el DC, haga clic con el botón derecho en Configuración de NTDS y seleccione Eliminar.

Confirme la eliminación de DC marcando Eliminar este controlador de dominio de todos modos. Está permanentemente fuera de línea y ya no se puede eliminar con el asistente de eliminación.

Luego elimine la cuenta del servidor.

Espere hasta que termine la replicación de AD y verifique el estado del dominio usando

dcdiag

y

repadmin

comandos (descritos anteriormente).

¿Cómo eliminar un controlador de dominio fallido en Active Directory?

Si su controlador de dominio ha fallado (servidor físico o archivos de DC virtuales en el almacenamiento) y no va a restaurar el DC desde la copia de seguridad del controlador de dominio creada anteriormente, puede forzar su eliminación.

En Windows Server 2008 R2 o anterior, el

ntdsutil

La herramienta se usó para eliminar un controlador de dominio fallido y borrar sus metadatos de AD. En el Windows Server 2022/2019/2016/2012 actual, puede eliminar el controlador de dominio fallido y borrar sus metadatos correctamente mediante los complementos MMC de administración gráfica de AD.

Abra la consola ADUC (

dsa.msc

) y vaya a Controladores de dominio. Encuentre su cuenta de DC y elimínela.

Aparece una ventana para confirmar la eliminación del controlador de dominio. Marque Eliminar este controlador de dominio de todos modos. Haz clic en Eliminar.

Active Directory borrará automáticamente los metadatos del controlador de dominio eliminado de la base de datos ntds.dit.

Luego, elimine el controlador de dominio en la consola de Sitios y servicios de AD como se muestra arriba.

Y el último paso es eliminar los registros del controlador de dominio del DNS. Abra el Administrador de DNS (

dnsmgmt.msc

).

Elimine el servidor de la lista de servidores de nombres en la configuración de la zona.

Elimine los registros estáticos de servidores de nombres (NS) relacionados con el DC eliminado en su zona DNS y

_msdcs

,

_sites

,

_tcp

,

_udp

secciones, así como registros PTR en la zona de búsqueda inversa.

O use PowerShell para buscar y eliminar registros en DNS.

Aquí hay una guía paso a paso que muestra cómo desinstalar un controlador de dominio o eliminar un controlador de dominio fallido de Active Directory.