Wie man einen Domänencontroller in Active Directory herabstuft

Wie man einen Domänencontroller unter Windows Server 2022/2019/2016/2012R2 herabstuft oder entfernt

Das kann ganz schön knifflig werden, wenn man damit nicht vertraut ist. Manchmal muss ein Domänencontroller (DC) außer Betrieb genommen werden, egal ob er einwandfrei funktioniert oder komplett ausgefallen ist. Ich habe beides schon erlebt, und ehrlich gesagt, obwohl sich der Prozess über die Jahre deutlich verbessert hat, ist er immer noch nicht ganz reibungslos. Ziel ist es, den DC sauber zu entfernen – ohne etwas zu beschädigen – daher sollten Sie diese Schritte genau befolgen. Schließlich kann eine fehlerhafte Active Directory-Umgebung Probleme wie Anmeldeschwierigkeiten oder defekte Dienste verursachen. Am Ende haben Sie einen DC ordnungsgemäß entfernt, und hoffentlich bleibt Ihr Active Directory stabil.

Wie man einen Domänencontroller (auch im Fehlerfall) unter Windows Server entfernt (degradiert).

Methode 1: Herabstufung eines intakten Domänencontrollers (Normale Entfernung)

Stellen Sie zunächst sicher, dass Ihr Domänencontroller tatsächlich einwandfrei funktioniert – überprüfen Sie die Replikation, die FSMO-Rollen, die DNS-Einstellungen usw. Andernfalls könnten später Probleme auftreten.

So gehen Sie vor:

1. Überprüfen Sie den Zustand und die Replikation des Domänencontrollers. Verwenden Sie dazu Befehle wie:

   • dcdiag.exe /s:YOUR-DC-NAME /qin der Eingabeaufforderung oder PowerShell, wobei Sie YOUR-DC-NAME durch Ihren Servernamen ersetzen.
   • Überprüfen Sie den AD-Replikationsstatus mit repadmin /replsummaryoder Get-ADReplicationPartnerMetadata.

2. Stellen Sie sicher, dass keine FSMO-Rollen auf diesem Server vorhanden sind. Führen Sie Folgendes aus:

   netdom query fsmo

   Falls sich Rollen auf diesem DC befinden, sollten sie woandershin übertragen werden – es ist ratsam, den AD in einem guten Zustand zu halten, bevor er entfernt wird.

3. Überprüfen Sie die DNS-Einstellungen. Falls dieser Domänencontroller DNS hostet, migrieren Sie die Zonendaten und DHCP-Bereiche entsprechend. In Testumgebungen wird dieser Schritt häufig vergessen, was dazu führt, dass Clients nach der Herabstufung die DNS-Auflösung verlieren.

4. Überprüfen Sie die auf diesem Domänencontroller ausgeführten Dienste: DHCP, CA, KMS usw. Migrieren oder deaktivieren Sie diese, bevor Sie fortfahren. Um beispielsweise DHCP-Bereiche auf einen anderen Server zu verschieben, verwenden Sie PowerShell:

   Get-DhcpServerv4Scope -ComputerName SERVERNAME | Get-DhcpServerv4OptionValue | Where-Object {$_. OptionID -eq 6}

5. Die Clients, die diesen DNS-Server verwenden – manuelle Konfigurationen, Drucker, Netzwerkgeräte – werden neu konfiguriert, um auf einen neuen DNS-Server zu verweisen. Windows-Protokolle oder DNS-Protokolle helfen dabei, dies aufzuspüren.

6. Wenn Sie eine Zertifizierungsstellenrolle verwenden, migrieren Sie diese auf einen anderen Rechner.

7. Prüfen Sie, ob weitere Rollen/Dienste wie NPS, WSUS usw.vorhanden sind. Entscheiden Sie, ob diese zuerst verschoben werden müssen.

8. Führen Sie das Test-ADDSDomainControllerUninstallationCmdlet (PowerShell) aus. Es sucht nach potenziellen Problemen. Bei Erfolg ist alles in Ordnung.

Dann degradiere den DC:

Dies können Sie über den Server-Manager tun.Öffnen Sie ihn, gehen Sie zu Verwalten > Rollen und Features hinzufügen und deaktivieren Sie dann Active Directory-Domänendienste. Oder, einfacher: Klicken Sie im Server-Manager mit der rechten Maustaste auf den Server > Rollen und Features entfernen.

Klicken Sie auf „Diesen Domänencontroller herabstufen“. Der Assistent wird angezeigt – hier ein Hinweis: Verwenden Sie dcpromo möglichst nicht mehr; es ist veraltet, und diese Methode ist sauberer.

Folgen Sie den Anweisungen des Assistenten. Wenn die Option „ Entfernung dieses Domänencontrollers erzwingen“ angezeigt wird, aktivieren Sie diese nicht – verwenden Sie sie nur im äußersten Notfall (und auf einem verbliebenen oder defekten Domänencontroller).Die Metadaten können Sie später manuell bereinigen.

Legen Sie ein neues Kennwort für das lokale Administratorkonto fest und klicken Sie anschließend auf „ Herabstufen“. Warten Sie kurz – sobald die Meldung „Active Directory-Domänencontroller erfolgreich herabgestuft“ angezeigt wird, ist der Vorgang abgeschlossen.

Starten Sie den Server neu. Entfernen Sie anschließend die ADDS-Rolle. Dadurch werden AD-Komponenten, DNS, Gruppenrichtlinientools usw.entfernt.

Mit PowerShell können Sie ADDS auch deinstallieren:

Uninstall-WindowsFeature AD-Domain-Services -IncludeManagementTools

Klicken Sie anschließend auf „Active Directory-Standorte und -Dienste “ ( dssite.msc), um die NTDS-Einstellungen und das DC-Objekt vom Standort zu löschen. Klicken Sie mit der rechten Maustaste unter dem Server auf „NTDS-Einstellungen“ und wählen Sie dann „Löschen“.

Vergessen Sie nicht, das Serverkonto auch in Active Directory-Benutzer und -Computer zu löschen (öffnen Sie dsa.msc).Das Konto sollte nun entfernt sein, und die Replikation wird im Laufe der Zeit alles bereinigen.

Methode 2: Entfernen eines defekten oder ausgefallenen Domänencontrollers (Erzwungenes Löschen)

Wenn der Domänencontroller vollständig ausgefallen oder nicht mehr reagiert, müssen Sie ihn zwangsweise entfernen. Achtung: Dies ist nicht für ein ordnungsgemäßes Herunterfahren gedacht, sondern für einen komplett ausgefallenen Server. Schalten Sie diesen Server nach einer solchen Entfernung niemals wieder ein.

Öffnen Sie zunächst Active Directory-Benutzer und -Computer ( dsa.msc) und suchen Sie den beschädigten Domänencontroller in der Organisationseinheit Domänencontroller. Löschen Sie ihn und bestätigen Sie den Vorgang anschließend mit der Option „ Diesen Domänencontroller trotzdem löschen“.

Bereinigen Sie anschließend die Metadaten mithilfe von Active Directory-Standorten und -Diensten. Klicken Sie mit der rechten Maustaste auf den Servernamen im Ordner „Server“ und wählen Sie „Löschen“.

Zum Schluss sollten Sie die DNS-Einträge bereinigen.Öffnen Sie den DNS-Manager ( dnsmgmt.msc) und entfernen Sie alle Einträge – sowohl Forward- als auch Reverse-Einträge –, die auf den ausgefallenen Domänencontroller verweisen. Falls Sie es sich einfach machen möchten, können Sie PowerShell verwenden:

Remove-DnsServerResourceRecord -ZoneName "domain.local" -RRType "A" -Name "DCNAME" -ComputerName "DNSSERVER"

Führe all diese Schritte aus, dann sollte das DC-System endgültig verschwunden sein. Wichtig: Dies gilt für defekte DCs, NICHT für die ordnungsgemäße Außerbetriebnahme. Verwende für intakte DCs den normalen Herabstufungsprozess.

Was passiert nach der Entfernung? Behalten Sie die Replikation und die Protokolle im Auge. Führen Sie den Befehl dcdiagerneut aus repadmin, um sicherzustellen, dass alles ordnungsgemäß funktioniert.

Zusammenfassung

• Überprüfen Sie den Zustand und die Rollen, bevor Sie versuchen, einen Domänencontroller zu entfernen.
• Verwenden Sie den Server-Manager oder PowerShell für die Herabstufung.
• Anschließend DNS- und Website-Informationen bereinigen
• Bring niemals einen durch Gewalt entfernten DC zurück, er ist so tot wie ein Türnagel.

Zusammenfassung

Das Entfernen eines Domänencontrollers kann etwas nervenaufreibend sein, besonders wenn er nicht mehr funktioniert oder Probleme bereitet. Befolgen Sie einfach die Schritte, überprüfen Sie alles doppelt und vergessen Sie die Bereinigung nicht. Es läuft nicht immer alles reibungslos – manchmal macht Active Directory Probleme und erfordert ein paar zusätzliche Befehle oder Nachbearbeitungen –, aber wenn Sie alles richtig machen, bleibt die Umgebung in der Regel stabil. Ich hoffe, diese Anleitung hilft Ihnen, Ihren Active Directory-Bereinigungsprozess zu vereinfachen. Viel Erfolg!