Windows Server 2022/2019/2016/2012R2 でドメイン コントローラーを降格または削除する方法
慣れていないと、この作業は少し面倒になることがあります。ドメインコントローラー（DC）は、正常に動作している場合でも、完全に機能していない場合でも、廃止しなければならない場合があります。私は両方の状況に遭遇しましたが、正直なところ、このプロセスは長年にわたって大幅に改善されてきましたが、それでも必ずしもスムーズに進むわけではありません。ここでの目標は、何かを壊すことなく、DCをきれいに削除することです。そのため、以下の手順は慎重に実行してください。混乱したAD環境は、ログインの問題やサービスの不具合など、頭を悩ませる問題を引き起こす可能性があります。最終的には、DCを適切に削除し、ADの健全な状態を維持できるはずです。
Windows Server でドメイン コントローラ (障害を含む) を削除 (降格) する方法
方法 1: 正常なドメイン コントローラの降格 (通常の削除)
まず、DC が実際に正常であることを確認します (レプリケーション、FSMO の役割、DNS 設定などをチェックします)。そうしないと、後で問題が発生する可能性があります。
やるべきことは次のとおりです:
-
ドメインコントローラーの健全性とレプリケーションを確認します。以下のコマンドを使用します。
dcdiag.exe /s:YOUR-DC-NAME /qコマンド プロンプトまたは PowerShell で、YOUR-DC-NAME をサーバー名に置き換えます。repadmin /replsummaryまたはを使用してAD レプリケーションの状態を確認しますGet-ADReplicationPartnerMetadata。
-
このサーバーにFSMOの役割がないことを確認してください。以下を実行してください。
netdom query fsmoこの DC にロールがある場合は、他の場所に転送します。削除する前に AD を正常な状態にしておくことをお勧めします。
-
DNS設定を確認してください。このDCがDNSをホストしている場合は、ゾーンデータとDHCPスコープを適切に移行してください。ラボではこの手順を忘れることが多く、降格後にクライアントがDNS解決できなくなることがあります。
-
このDCで実行されているサービス（DHCP、CA、KMSなど）を確認してください。続行する前に、これらのサービスを移行または無効化してください。たとえば、DHCPスコープを別のサーバーに移動するには、PowerShellを使用します。
Get-DhcpServerv4Scope -ComputerName SERVERNAME | Get-DhcpServerv4OptionValue | Where-Object {$_. OptionID -eq 6} -
このDNSサーバーを使用している監査クライアント（手動設定、プリンター、ネットワーク機器など）は、新しいDNSサーバーを指すように再設定されます。WindowsログまたはDNSログは、この原因の特定に役立ちます。
-
証明機関のロールを使用している場合は、別のマシンに移行します。
-
NPS、WSUS などの他のロール/サービスを確認します。最初にそれらを移動する必要があるかどうかを判断します。
-
コマンドレット（PowerShell）を実行します
Test-ADDSDomainControllerUninstallation。潜在的な問題をスキャンします。成功と表示されれば、準備完了です。
次に、DC を降格します。
サーバーマネージャーから実行できます。サーバーマネージャーを開き、「管理」 > 「役割と機能の追加」に移動し、「Active Directoryドメインサービス」のチェックを外します。または、より簡単な方法として、サーバーマネージャーでサーバーを右クリックし、「役割と機能の削除」を選択します。
「このドメインコントローラーを降格する」をクリックします。ウィザードが表示されますが、ここで注意すべき点があります。dcpromoは廃止されたため、今後は使用しないでください。この方法の方がよりシンプルです。
ウィザードの指示に従ってください。「このドメインコントローラーを強制的に削除する」と表示された場合は、チェックを入れないでください。最後の手段（かつ、余剰または故障したDCの場合）の場合のみ使用してください。後からメタデータを手動でクリーンアップできます。
ローカル管理者アカウントの新しいパスワードを設定し、「Demote（降格）」をクリックします。しばらくお待ちください。「Active Directoryドメインコントローラーの降格に成功しました」と表示されたら完了です。
サーバーを再起動します。再起動後、ADDS ロールを削除します。これにより、AD コンポーネント、DNS、グループポリシーツールなどが消去されます。
PowerShell を使用して、ADDS をアンインストールすることもできます。
Uninstall-WindowsFeature AD-Domain-Services -IncludeManagementTools次に、「Active Directory サイトとサービス」（dssite.msc）をクリックして、サイトから NTDS 設定と DC オブジェクトを削除します。サーバーの下の「NTDS 設定」を右クリックし、 「削除」をクリックします。
Active Directory ユーザーとコンピューター（開く）からサーバーアカウントも削除することを忘れないでくださいdsa.msc。これでアカウントは削除され、レプリケーションによって時間の経過とともにすべてが徐々にクリーンアップされます。
方法 2: 故障した DC または障害のある DC を削除する (強制削除)
DCが完全に停止したり応答しなくなったりした場合は、強制的に削除する必要があります。ただし、これはクリーンシャットダウンではなく、完全に機能を停止させるためのものです。この方法で削除した後は、サーバーをオンラインに戻さないでください。
まず、「Active Directory ユーザーとコンピューター」（ ）にアクセスし、 「ドメインコントローラー」dsa.msc OU内の破損した DC を見つけます。削除したら、「このドメインコントローラーを削除する」にチェックを入れて確定します。
次に、「Active Directory サイトとサービス」を使用してメタデータをクリーンアップします。 「サーバー」フォルダ内のサーバーの t を右クリックし、「削除」を選択します。
最後に、DNSをクリーンアップします。DNSマネージャー（dnsmgmt.msc）を開き、障害が発生したDCを指すレコード（順方向と逆方向の両方）を削除します。面倒な場合は、PowerShellが役立ちます。
Remove-DnsServerResourceRecord -ZoneName "domain.local" -RRType "A" -Name "DCNAME" -ComputerName "DNSSERVER"これらをすべて実行すれば、そのDCは事実上消滅するはずです。ただし、これは故障したDC用であり、正常な廃止用ではないことに注意してください。正常なDCには通常の降格プロセスを使用してください。
削除後はどうなりますか？レプリケーションとログに注意してください。もう一度実行してdcdiag、repadminすべてが正常であることを確認してください。
まとめ
- DC を削除する前に、正常性と役割を確認してください
- 降格にはサーバーマネージャーまたは PowerShell を使用する
- DNSとサイト情報を後でクリーンアップする
- 強制的に削除されたDCは絶対に復活させないでください。完全に死んでいます。
まとめ
DC を削除するのは、特に動作が停止していたり、動作が不安定だったりする場合は、かなり神経をすり減らす作業です。手順に従って、すべてを再確認し、クリーンアップを怠らないようにしてください。常に完璧とは限りません。AD が故障して、追加のコマンドやクリーンアップが必要になることもありますが、正しく実行すれば、環境は健全な状態を維持できる可能性が高いです。この記事が、AD のクリーンアッププロセスを効率化するのに役立つことを願っています。頑張ってください！