Cómo degradar un controlador de dominio en Active Directory

Cómo degradar o eliminar un controlador de dominio en Windows Server 2022/2019/2016/2012R2

Esto puede ser un poco complicado si no estás acostumbrado. A veces es necesario desmantelar un controlador de dominio (DC), ya sea que funcione perfectamente o esté totalmente inactivo. Me he encontrado con ambos casos y, sinceramente, aunque el proceso ha mejorado mucho con los años, sigue sin ser del todo sencillo. El objetivo es eliminar ese DC de forma limpia, sin dañar nada, así que te recomendamos seguir estos pasos con atención. Al fin y al cabo, un entorno de AD descontrolado puede causar problemas de inicio de sesión o servicios interrumpidos. Al final, habrás eliminado un DC correctamente y, con suerte, tu AD se mantendrá en buen estado.

Cómo eliminar (degradar) un controlador de dominio (incluidos los fallos) en Windows Server

Método 1: Degradación de un controlador de dominio en buen estado (eliminación normal)

Primero, asegúrese de que su DC esté en buen estado: verifique la replicación, los roles FSMO, la configuración de DNS, etc. De lo contrario, podría encontrarse con algunos problemas más adelante.

Esto es lo que debes hacer:

1. Verifique el estado y la replicación del controlador de dominio. Use comandos como:

   • dcdiag.exe /s:YOUR-DC-NAME /qEn el símbolo del sistema o PowerShell, reemplace YOUR-DC-NAME con el nombre de su servidor.
   • Compruebe el estado de replicación de AD con repadmin /replsummaryo Get-ADReplicationPartnerMetadata.

2. Asegúrese de que los roles FSMO no estén en este servidor. Ejecute:

   netdom query fsmo

   Si los roles están en este DC, transfiérelos a otro lugar (es bueno mantener ese AD saludable antes de eliminarlo).

3. Verifique la configuración de DNS. Si este controlador de dominio aloja DNS, migre los datos de zona y los ámbitos DHCP según corresponda. Los laboratorios suelen olvidar este paso, lo que provoca que los clientes pierdan la resolución de DNS después de la degradación.

4. Revise los servicios que se ejecutan en este controlador de dominio: DHCP, CA, KMS, etc. Migre o deshabilítelos antes de continuar. Por ejemplo, para mover ámbitos DHCP a otro servidor, use PowerShell:

   Get-DhcpServerv4Scope -ComputerName SERVERNAME | Get-DhcpServerv4OptionValue | Where-Object {$_. OptionID -eq 6}

5. Los clientes de auditoría que utilizan este servidor DNS (configuraciones manuales, impresoras, equipos de red) se reconfiguran para apuntar a un nuevo servidor DNS. Los registros de Windows o DNS ayudan a rastrear esto.

6. Si utiliza una función de autoridad de certificación, migrela a una máquina diferente.

7. Verifique otros roles/servicios como NPS, WSUS, etc. Decida si es necesario moverlos primero.

8. Ejecute el Test-ADDSDomainControllerUninstallationcmdlet (PowerShell).Analizará posibles problemas. Si la operación se ha completado correctamente, listo.

Luego, degrada el DC:

Puede hacerlo a través del Administrador del servidor.Ábralo, vaya a Administrar > Agregar roles y características y desmarque la opción Servicios de dominio de Active Directory. O, más fácil: haga clic derecho en el servidor en el Administrador del servidor > Eliminar roles y características.

Haga clic en «Degradar este controlador de dominio». Aparecerá el asistente. El truco es: intente no usar más dcpromo ; está obsoleto y esta forma es más limpia.

Sigue las instrucciones del asistente. Si dice «Forzar la eliminación de este controlador de dominio», no lo marques; úsalo solo si es el último recurso (y en un controlador de dominio restante o dañado).Más adelante, puedes limpiar los metadatos manualmente.

Establezca una nueva contraseña para la cuenta de administrador local y haga clic en Degradar. Espere; cuando vea » Degradado correctamente del controlador de dominio de Active Directory», estará listo.

Reinicie el servidor. Después de reiniciar, vuelva atrás y elimine la función ADDS. Esto borrará los componentes de AD, DNS, las herramientas de directiva de grupo, etc.

Usando PowerShell, también puedes desinstalar ADDS:

Uninstall-WindowsFeature AD-Domain-Services -IncludeManagementTools

Luego, haga clic en Sitios y servicios de Active Directory ( dssite.msc) para eliminar la configuración de NTDS y el objeto de controlador de dominio del sitio. Haga clic con el botón derecho en Configuración de NTDS debajo del servidor y luego en Eliminar.

No olvides eliminar también la cuenta del servidor de Usuarios y equipos de Active Directory (abrir dsa.msc).La cuenta debería desaparecer y la replicación limpiará todo gradualmente con el tiempo.

Método 2: Eliminar un DC muerto o fallido (eliminación forzada)

Si el controlador de dominio (DC) ha muerto por completo o no responde, tendrás que forzar su desinstalación. Sin embargo, ten cuidado: esto no es para un apagado completo, sino para servidores totalmente inactivos. Nunca vuelvas a conectar este servidor después de desinstalarlo de esta forma.

Primero, acceda a Usuarios y equipos de Active Directory ( dsa.msc) y busque el controlador de dominio dañado en la unidad organizativa Controladores de dominio. Elimínelo y confirme marcando la opción «Eliminar este controlador de dominio de todos modos».

A continuación, limpie los metadatos con Sitios y servicios de Active Directory. Haga clic con el botón derecho en el servidor en la carpeta Servidores y seleccione Eliminar.

Finalmente, limpie el DNS. Abra el Administrador de DNS ( dnsmgmt.msc) y elimine los registros (tanto directos como inversos) que apuntan al controlador de dominio inactivo. Si no le convence, PowerShell puede ayudarle:

Remove-DnsServerResourceRecord -ZoneName "domain.local" -RRType "A" -Name "DCNAME" -ComputerName "DNSSERVER"

Haz todo esto y ese centro de datos debería desaparecer. Recuerda: esto es para centros de datos con problemas, NO para bajas ordenadas. Usa el proceso de degradación normal para centros de datos en buen estado.

¿Qué sucede después de la eliminación? Vigila la replicación y los registros. Ejecuta » dcdiagy repadmin» de nuevo para asegurarte de que todo esté en orden.

Resumen

• Verifique la salud y los roles antes de intentar eliminar un DC
• Utilice el Administrador del servidor o PowerShell para la degradación
• Limpia el DNS y la información del sitio después
• Nunca devuelvas un DC retirado por la fuerza, está tan muerto como el clavo de una puerta.

Resumen

Eliminar un DC es un poco estresante, sobre todo si está muerto o se comporta mal. Simplemente sigue los pasos, revisa todo y no te saltes la limpieza. No siempre es perfecto (a veces, AD se enfada y requiere algunas órdenes adicionales o limpieza), pero lo más probable es que, si lo haces bien, el entorno se mantenga sano. Cruzamos los dedos para que esto te ayude a agilizar la limpieza de AD.¡Mucha suerte!