วิธีลบ (ลดระดับ) ตัวควบคุมโดเมน

ตอนนี้คุณมี Domain Controller ตัวใหม่ที่ทำงานอยู่ใน Active Directory ก็ถึงเวลาที่จะลดระดับ Domain Controller ตัวเก่า มีสองตัวเลือกในการลบ Domain Controller ขึ้นอยู่กับว่า Domain Controller สามารถเข้าถึงได้หรือไม่ ในบทความนี้ คุณจะได้เรียนรู้วิธีลบ Domain Controller ทีละขั้นตอน

ตัวเลือกการลบตัวควบคุมโดเมน

วิธีที่ต้องการในการลดระดับตัวควบคุมโดเมนคือการใช้ Server Manager หรือ PowerShell สิ่งที่คุณเลือกขึ้นอยู่กับคุณ ในที่สุดพวกเขาก็เหมือนกัน แต่มีบางครั้งที่ Domain Controller ไม่สามารถบูตได้อีกต่อไป และคุณไม่สามารถนำกลับมาใช้ใหม่ได้อีกต่อไป จากนั้นคุณต้องเลือกวิธีการลบออกด้วยตนเอง

เพื่อให้ง่ายขึ้น คุณมีตัวเลือกด้านล่าง:

• ตัวเลือกที่ 1: สามารถเข้าถึงตัวควบคุมโดเมนได้ - ลบตัวควบคุมโดเมนด้วย Server Manager หรือ PowerShell

• ตัวเลือกที่ 2: ไม่สามารถเข้าถึงตัวควบคุมโดเมน - ลบตัวควบคุมโดเมนด้วยตนเอง

ลองดูทั้งสองตัวเลือกในการลบตัวควบคุมโดเมนใน Active Directory และกระบวนการล้างข้อมูล

ลบตัวควบคุมโดเมนด้วยตัวจัดการเซิร์ฟเวอร์

หากต้องการลดระดับ Domain Controller โดยใช้ Server Manager ให้ทำตามขั้นตอนด้านล่าง:

ขั้นตอนที่ 1 ย้ายบทบาท FSMO (ไม่บังคับ)

บทบาท FSMO จะย้ายไปยังตัวควบคุมโดเมนอื่นโดยอัตโนมัติเมื่อคุณลบตัวควบคุมโดเมนผ่านตัวช่วยสร้างการลบ หากคุณต้องการย้ายบทบาท FSMO และไม่ให้กระบวนการถอนการติดตั้งดำเนินการให้คุณโดยอัตโนมัติ คุณสามารถทำได้

DC02-20222 ในคำสั่งด้านล่างคือชื่อโฮสต์ Domain Controller เป้าหมายซึ่งเราจะถ่ายโอนบทบาท FSMO ด้วย

Move-ADDirectoryServerOperationMasterRole "DC02-2022" -OperationMasterRole 0,1,2,3,4 -Force -Confirm:$false

ขั้นตอนที่ 2 ทดสอบการถอนการติดตั้งตัวควบคุมโดเมน

วิธีที่ดีเยี่ยมคือการเรียกใช้ Test-ADDSDomainControllerUninstallation cmdlet ก่อนที่คุณจะเริ่มต้นด้วยการเอา Domain Controller ออก วิธีนี้จะตรวจสอบและแจ้งเตือนหากทุกอย่างได้รับการตั้งค่าหรือมีปัญหาใดๆ

Test-ADDSDomainControllerUninstallation

หากคำสั่งข้างต้นใช้งานไม่ได้ ให้รันคำสั่งด้านล่าง

Test-ADDSDomainControllerUninstallation -LocalAdministratorPassword (Read-Host -Prompt "password" -AsSecureString)

กรอกรหัสผ่านผู้ดูแลระบบท้องถิ่นแล้วยืนยันอีกครั้ง

LocalAdministratorPassword: ************
Confirm LocalAdministratorPassword: ************

ในตัวอย่างของเรา ผลลัพธ์ด้านล่างแสดงสถานะ สำเร็จ ดังนั้น ทุกอย่างดูดี และเราสามารถดำเนินการต่อไปได้

Message                          Context                                  RebootRequired  Status
-------                          -------                                  --------------  ------
Operation completed successfully Test.VerifyDcPromoCore.DCPromo.General.1          False Success

ขั้นตอนที่ 3 ลดระดับตัวควบคุมโดเมน

ในตัวอย่างของเรา เราจะลบ Domain Controller DC01-2019

1. เปิดตัวจัดการเซิร์ฟเวอร์

2. คลิกที่ จัดการ และเลือก ลบบทบาทและคุณลักษณะ

3. เลือก ถัดไป

4. เลือกเซิร์ฟเวอร์จากพูลแล้วคลิกถัดไป

5. ล้างช่องทำเครื่องหมาย บริการโดเมน Active Directory

6. คลิก ลบคุณลักษณะ

7. คลิกที่ ลดระดับตัวควบคุมโดเมนนี้

8. ระบุข้อมูลรับรองผู้ดูแลระบบหากจำเป็น แล้วคลิก ถัดไป

หมายเหตุ: ไม่ เลือกตัวเลือก บังคับให้ลบตัวควบคุมโดเมนนี้ และปล่อยไว้โดยไม่ทำเครื่องหมาย

9. ทำเครื่องหมาย ดำเนินการลบต่อ และคลิก ถัดไป

10. ป้อนรหัสผ่านผู้ดูแลระบบใหม่สำหรับบัญชีผู้ดูแลระบบภายในหลังจากที่ Domain Controller ถูกลดระดับ

11. คลิกที่ ลดระดับ

12. เซิร์ฟเวอร์จะเข้าสู่กระบวนการลดระดับ

12. เมื่อการลดระดับเสร็จสิ้น Windows Server จะรีสตาร์ทโดยอัตโนมัติ

ขั้นตอนที่ 4 ลบบทบาทบริการโดเมน Active Directory

หลังจากรีสตาร์ท คุณจะต้องลบบทบาท ADDS ออกตามขั้นตอนด้านล่าง:

1. เปิดตัวจัดการเซิร์ฟเวอร์

2. คลิกที่ จัดการ และเลือก ลบบทบาทและคุณลักษณะ

3. เลือกเซิร์ฟเวอร์จากพูลแล้วคลิกถัดไป

4. ล้างช่องทำเครื่องหมาย บริการโดเมน Active Directory

2. คลิก ลบคุณลักษณะ

3. คลิกถัดไป

4. คลิกถัดไป

5. ทำเครื่องหมายที่ช่อง รีสตาร์ทเซิร์ฟเวอร์ปลายทางโดยอัตโนมัติหากจำเป็น

6. กำลังดำเนินการกำจัด

7. Windows Server จะรีสตาร์ทและดำเนินการลบและเสร็จสิ้นต่อไป คลิก ปิด

8. ปิดเซิร์ฟเวอร์

ขั้นตอนที่ 5 ลบวัตถุคอมพิวเตอร์ AD

เมื่อเซิร์ฟเวอร์ถูกปิด ให้ลบวัตถุคอมพิวเตอร์ AD ด้วยขั้นตอนด้านล่าง:

1. ลงชื่อเข้าใช้ใน Domain Controller อื่น

2. เริ่มต้น ผู้ใช้ Active Directory และคอมพิวเตอร์

3. คลิกในเมนูบนคอนเทนเนอร์ คอมพิวเตอร์

4. คลิกขวาที่เซิร์ฟเวอร์แล้วคลิก ลบ

5. ยืนยันด้วย ใช่

คุณลบวัตถุคอมพิวเตอร์ AD เรียบร้อยแล้ว

ขั้นตอนที่ 6 ลบเซิร์ฟเวอร์ออกจากไซต์และบริการ Active Directory

ลบเซิร์ฟเวอร์ออกจากไซต์และบริการ Active Directory ด้วยขั้นตอนด้านล่าง:

1. เปิดไซต์และบริการ Active Directory

2. ขยาย ไซต์ > ค่าเริ่มต้น-ชื่อไซต์แรก > เซิร์ฟเวอร์

3. คลิกขวาที่ เซิร์ฟเวอร์ และเลือก ลบ

4. ยืนยันด้วย ใช่

คุณลบเซิร์ฟเวอร์ออกจากบริการระบบโดเมน Active Directory (ADDS) เรียบร้อยแล้ว

ขั้นตอนที่ 7 ลบ DNS ที่เหลือ

มีของเหลืออยู่ใน DNS หลังจากที่คุณลบตัวควบคุมโดเมน แม้ว่าคุณจะมีการตั้งค่า DNS Aging และ Scavenging ใน Active Directory ก็ตาม นั่นเป็นเพราะว่าจะลบบันทึก DNS แบบไดนามิกเก่าออก และไม่ใช่บันทึก DNS แบบคงที่เก่า

คุณสามารถผ่านทุกโซนใน DNS Manager และลบบันทึก DNS ที่เชื่อมโยงกับ Domain Controller เก่า แต่นั่นต้องใช้เวลา

สคริปต์ด้านล่างจะล้างข้อมูลเก่าทั้งหมดใน DNS มันจะผ่าน DNS และค้นหา Domain Controller FQDN เก่า ชื่อโฮสต์ และที่อยู่ IP คุณจะต้องเปลี่ยน บรรทัด 1, 2 และ 3 เท่านั้น

สมมติว่าคุณเก็บที่อยู่ IP เดียวกันสำหรับ Domain Controller ใหม่และต้องการตรวจสอบ FQDN และ ชื่อโฮสต์ เก่าใน DNS เท่านั้น ยกเลิกการใส่เครื่องหมายข้อคิดเห็น บรรทัด 3 ในสคริปต์

หมายเหตุ: สคริปต์มีพารามิเตอร์ -WhatIf ดังนั้นจึงไม่มีอะไรเกิดขึ้นกับสภาพแวดล้อมเมื่อคุณเรียกใช้สคริปต์ เมื่อคุณระบุบันทึกเก่าแล้ว ให้ลบพารามิเตอร์ -WhatIf และเรียกใช้สคริปต์อีกครั้ง อ่านเพิ่มเติมเกี่ยวกับสคริปต์ในบทความวิธีล้างระเบียน DNS เก่าด้วย PowerShell

$ServerFQDN = "dc01-2019.exoip.local." #Keep the dot (.) at the end
$ServerHostname = "dc01-2019"
$IPAddress = "192.168.1.51"

$Zones = Get-DnsServerZone | Where-Object { $_.ZoneType -eq "Primary" } |
Select-Object -ExpandProperty ZoneName

foreach ($Zone in $Zones) {
    Get-DnsServerResourceRecord -ZoneName $Zone | Where-Object { 
        $_.RecordData.IPv4Address -eq $IPAddress -or
        $_.RecordData.NameServer -eq $ServerFQDN -or
        $_.RecordData.DomainName -eq $ServerFQDN -or
        $_.RecordData.HostnameAlias -eq $ServerFQDN -or
        $_.RecordData.MailExchange -eq $ServerFQDN -or
        $_.HostName -eq $ServerHostname
    } | Remove-DnsServerResourceRecord -ZoneName $Zone -Force -WhatIf
}

คุณลดระดับตัวควบคุมโดเมนจาก Active Directory สำเร็จแล้ว และทำตามขั้นตอนการล้างข้อมูลที่จำเป็นในภายหลัง

ลบตัวควบคุมโดเมนด้วยตนเอง

เมื่อคุณไม่สามารถเริ่ม Domain Controller ได้อีกต่อไป คุณต้องลบออกด้วยตนเอง

ขั้นตอนข้างต้นเป็นวิธีที่เหมาะสมในการลบ Domain Controller ออกจาก Active Directory เมื่อคุณสามารถเข้าถึงได้ มีบางสถานการณ์ที่เซิร์ฟเวอร์ Domain Controller ขัดข้อง และคุณไม่สามารถเรียกใช้งานได้อีกต่อไป สิ่งนี้จำเป็นต้องลบ Domain Controller ออกจาก Active Directory ด้วยตนเอง

หมายเหตุ: ทำตามขั้นตอนด้านล่างหากคุณมี Windows Server 2008 R2 และสูงกว่า

ทำตามขั้นตอนด้านล่างเพื่อบังคับให้ลบ Domain Controller:

ขั้นตอนที่ 1 ย้ายบทบาท FSMO (ไม่บังคับ)

บทบาท FSMO จะย้ายไปยังตัวควบคุมโดเมนอื่นโดยอัตโนมัติเมื่อคุณลบตัวควบคุมโดเมนผ่านตัวช่วยสร้างการลบ หากคุณต้องการย้ายบทบาท FSMO และไม่ให้กระบวนการถอนการติดตั้งดำเนินการโดยอัตโนมัติ คุณสามารถทำได้

DC02-20222 ในคำสั่งด้านล่างคือชื่อโฮสต์ Domain Controller เป้าหมายซึ่งเราจะถ่ายโอนบทบาท FSMO ด้วย

Move-ADDirectoryServerOperationMasterRole "DC02-2022" -OperationMasterRole 0,1,2,3,4 -Force -Confirm:$false

ขั้นตอนที่ 2 บังคับให้ลบวัตถุคอมพิวเตอร์ตัวควบคุมโดเมน

ลบวัตถุคอมพิวเตอร์ AD ด้วยขั้นตอนด้านล่าง:

1. ลงชื่อเข้าใช้ใน Domain Controller อื่น

2. เปิดผู้ใช้ Active Directory และคอมพิวเตอร์

3. คลิกในเมนูของหน่วยองค์กร ตัวควบคุมโดเมน

4. คลิกขวาที่ เซิร์ฟเวอร์ และคลิก ลบ

4. เลือก ใช่ เพื่อยืนยันการลบออบเจ็กต์คอมพิวเตอร์

5. ทำเครื่องหมายในช่อง ลบ Domain Controller นี้ต่อไป ออฟไลน์โดยถาวรและไม่สามารถลบออกได้โดยใช้ตัวช่วยสร้างการลบอีกต่อไป

6. ยืนยันด้วย ใช่

7. เลือก ตกลง หากคุณได้รับข้อความเตือนเกี่ยวกับบทบาท FSMO ที่ต้องย้ายไปยังเซิร์ฟเวอร์ใหม่

คุณลบตัวควบคุมโดเมนสำเร็จแล้ว

ขั้นตอนที่ 3 ลบเซิร์ฟเวอร์ออกจากไซต์และบริการ Active Directory

ลบเซิร์ฟเวอร์ออกจากไซต์และบริการ Active Directory ด้วยขั้นตอนด้านล่าง:

1. เปิดไซต์และบริการ Active Directory

2. ขยาย ไซต์ > ค่าเริ่มต้น-ชื่อไซต์แรก > เซิร์ฟเวอร์

3. คลิกขวาที่ เซิร์ฟเวอร์ และเลือก ลบ

4. ยืนยันด้วย ใช่

คุณลบเซิร์ฟเวอร์ออกจากบริการระบบโดเมน Active Directory (ADDS) เรียบร้อยแล้ว

ขั้นตอนที่ 4 ลบ DNS ที่เหลือ

มีของเหลืออยู่ใน DNS หลังจากที่คุณลบตัวควบคุมโดเมน แม้ว่าคุณจะมีการตั้งค่า DNS Aging และ Scavenging ใน Active Directory ก็ตาม นั่นเป็นเพราะว่าจะลบบันทึก DNS แบบไดนามิกเก่าออก และไม่ใช่บันทึก DNS แบบคงที่เก่า

คุณสามารถผ่านทุกโซนใน DNS Manager และลบบันทึก DNS ที่เชื่อมโยงกับ Domain Controller เก่า แต่นั่นต้องใช้เวลา

สคริปต์ด้านล่างจะล้างข้อมูลเก่าทั้งหมดใน DNS มันจะผ่าน DNS และค้นหา Domain Controller FQDN เก่า ชื่อโฮสต์ และที่อยู่ IP คุณจะต้องเปลี่ยน บรรทัด 1, 2 และ 3 เท่านั้น

สมมติว่าคุณเก็บที่อยู่ IP เดียวกันสำหรับ Domain Controller ใหม่และต้องการตรวจสอบ FQDN และ ชื่อโฮสต์ เก่าใน DNS เท่านั้น ยกเลิกการใส่เครื่องหมายข้อคิดเห็น บรรทัด 3 ในสคริปต์

หมายเหตุ: สคริปต์มีพารามิเตอร์ -WhatIf ดังนั้นจึงไม่มีอะไรเกิดขึ้นกับสภาพแวดล้อมเมื่อคุณเรียกใช้สคริปต์ เมื่อคุณระบุบันทึกเก่าแล้ว ให้ลบพารามิเตอร์ -WhatIf และเรียกใช้สคริปต์อีกครั้ง อ่านเพิ่มเติมเกี่ยวกับสคริปต์ในบทความวิธีล้างระเบียน DNS เก่าด้วย PowerShell

$ServerFQDN = "dc01-2019.exoip.local." #Keep the dot (.) at the end
$ServerHostname = "dc01-2019"
$IPAddress = "192.168.1.51"

$Zones = Get-DnsServerZone | Where-Object { $_.ZoneType -eq "Primary" } |
Select-Object -ExpandProperty ZoneName

foreach ($Zone in $Zones) {
    Get-DnsServerResourceRecord -ZoneName $Zone | Where-Object { 
        $_.RecordData.IPv4Address -eq $IPAddress -or
        $_.RecordData.NameServer -eq $ServerFQDN -or
        $_.RecordData.DomainName -eq $ServerFQDN -or
        $_.RecordData.HostnameAlias -eq $ServerFQDN -or
        $_.RecordData.MailExchange -eq $ServerFQDN -or
        $_.HostName -eq $ServerHostname
    } | Remove-DnsServerResourceRecord -ZoneName $Zone -Force -WhatIf
}

คุณบังคับลบตัวควบคุมโดเมนออกจาก Active Directory ด้วยตนเองสำเร็จแล้ว และทำตามขั้นตอนการล้างข้อมูลที่จำเป็นในภายหลัง

ตรวจสอบความสมบูรณ์ของตัวควบคุมโดเมน

เมื่อถอด Domain Controller ตัวเก่าออกแล้ว ก็ควรตรวจสอบความสมบูรณ์ของ Domain Controller ตัวใหม่

อ่านบทความ การตรวจสอบสุขภาพ Active Directory ด้วยสคริปต์ PowerShell และสร้างรายงาน รายงาน HTML จะแสดงสถานะของตัวควบคุมโดเมนทั้งหมดใน Active Directory

แค่นั้นแหละ!

อ่านเพิ่มเติม: เปลี่ยนชื่อบัญชีผู้ดูแลระบบด้วย Group Policy »

บทสรุป

คุณได้เรียนรู้วิธีลดระดับ Domain Controller จาก Active Directory สิ่งสำคัญคือคุณต้องลบ Domain Controller ออกจากโดเมนโดยใช้ Remove Roles and Features Wizard ในตัวจัดการเซิร์ฟเวอร์ ถ้าไม่สามารถเข้าถึงตัวควบคุมโดเมนได้ ให้ลบออกจากผู้ใช้ Active Directory และคอมพิวเตอร์

คุณสนุกกับบทความนี้หรือไม่? คุณอาจต้องการเปลี่ยน TTL สำหรับบันทึก DNS ใน Windows Server อย่าลืมติดตามเราและแบ่งปันบทความนี้