GlobalHonknet.local. Entfernen von Metadaten aus Active Directory nach Offlineschaltung und fehlgeschlagener DC Herabstufung

Transkript

1 GlobalHonknet.local 1 von 14 GlobalHonknet.local Am Rollberg 21, Berlin Entfernen von Metadaten aus Active Directory nach Offlineschaltung und fehlgeschlagener DC Herabstufung

2 GlobalHonknet.local 2 von 14 Übersicht über die Domänenstruktur /24 DNS : Honkiserver GlobalHonknet.local /24 DNS : Honkserver Unten.GlobalHonknet.local /24 DNS: Honktopserver Sichahait.Unten.GlobalHonknet.local

3 GlobalHonknet.local 3 von 14 Beschreibung der Domänenstruktur Die für die Domänencontroller vorgesehene Server wurden mit Windows 2000 Advanced Server installiert. Des weiteren wurden folgende Komponenten installiert und konfiguriert: - Windows 2000 Service Pack 4 - Internet Explorer 6 - DNS Server - ISS Lockdowntool - Beenden der Standartwebseite / Verwaltungswebseite - Beenden des SMTP Dienstes - Umbenennen des Administratorkontos ( Entfernen der Beschreibung) - Anlegen eines Honigtopfes Diese Dokumentation beschreibt, wie nach einer fehlgeschlagenen oder nicht durchgeführten Herabstufung eines Domänencontrollers Metadaten einer Domäne aus dem Active Directory entfernt werden können. Wenn der letzte Domänencontroller einer Domäne herabgestuft wird, wählt man in der Regel die Option "Dieser Server ist der letzte Domänencontroller in der Domäne" im Programm DCPROMO, so das die Metadaten der Domäne aus dem Active Directory entfernt werden. Im Verlauf des Herabstufungsvorganges entfernt DCPROMO die Konfigurationsdaten für den Domänencontroller aus Active Directory. Diese Daten erscheinen als Objekt NTDS-Einstellungen, das sich als ein untergeordnetes Objekt des Serverobjektes in der Active Directory-Standorte- und Dienstverwaltung befindet. Das Objekt NTDS-Einstellungen ist ebenfalls ein Container, der untergeordnete Objekte enthalten kann, die die direkten Replikationspartner des DC darstellen. Hier wurde die untergeordnete Domäne Sichahait.Unten.GlobalHonknet.local nicht ordnungsgemäß entfernt (offline geschaltet, ohne vorher herabzustufen), so dass Metadaten im Active Directory weiterhin enthalten sind. ACHTUNG: Unkorrekte Änderungen von Active Directory Objekten durch das ADSIEdit-Snap-In, durch LDP oder anderer LDAP 3-Clients, kann schwerwiegende Probleme zur Folge haben. Bevor die Metadaten einer Domäne manuell entfernt werden, ist zu überprüfen, ob seit der Herabstufung des letzten Domänencontrollers eine Replikation stattgefunden hat. Die falsche Verwendung des Programms NTDSUTIL kann den teilweisen oder vollständigem Verlust von Active Directory- Funktionalität zur Folge haben.

4 GlobalHonknet.local 4 von 14 Zuerst muss festgestellt werden, welcher DC die FSMO-Funktion Domänennamen-Master wahrnimmt, hier Honkiserver. Zu Beginn wird das Programm ntdsutil aus der Kommandozeile heraus gestartet. Mit? werden weitere Informationen zu verfügbaren Optionen angezeigt.

5 GlobalHonknet.local 5 von 14 metadata cleanup eingeben und danach connections. Mit connect to server wird eine Verbindung zum Domänennamen-Master der Domäne hergestellt, hier Honkiserver. Der derzeit angemeldete Benutzer sollte Mitglied der Gruppe der Organisationsadministratoren sein. Alternativ können Anmeldeinformation verwendet werden. Dazu wird vor connect to server folgende Informationen eingegeben: set creds domänenname benutzername passwort (ohne Anführungszeichen)

6 GlobalHonknet.local 6 von 14 Jetzt quit eingeben um wieder zum Menu metadata cleanup zu gelangen. Danach select operation target und list domains. Eine Liste mit den in der Gesamtstruktur enthaltenen Domänen wird angezeigt, wobei jede Domäne mit einer Nummer verbunden ist. Jetzt ist mit select domain 2 die Nummer der zu löschenden Domäne einzugeben, hier 2 für Sichahait.Unten.GlobalHonknet.local. Achtung: Seite 7 beschreibt den letzten Schritt zum Entfernen einer untergeordneten Domäne. Die Schritte ab Seite 8 der Dokumentation beschreiben das Entfernen eines Serverobjektes aus Active Directory, z. B. nach einer fehlgeschlagen DC-Herabstufung. Sie knüpfen an die Schritte auf Seite 6 an. Dazu wird nach dem select domain 2 Befehl, mit dem Befehl list sites auf Seite 8, fortgeführt.

7 GlobalHonknet.local 7 von 14 Nachdem mit select domain 2 die entsprechende Domäne ausgewählt wurde, gelangt man mit quit wieder zum Menü metadata cleanup. Jetzt kann die ausgewählte Domäne mit remove selected domain entfernt werden. Natürlich kommt wieder eine Frage, die entsprechend beantwortet werden will. Wurde die Entfernung erfolgreich durchgeführt, wird eine Bestätigung angezeigt (siehe oben). Das Programm ntdsutil kann nun beendet werden. Sollte eine Fehlermeldung ausgegeben werden, dass das Entfernen der Domäne aufgrund eines DNS- Host-Eintrages fehlschlägt, sollte zuerst das Serverobjekt, wie auf den folgenden Seiten beschrieben, entfernt werden und dann noch mal die Domäne mit remove selected domain entfernt werden.

8 GlobalHonknet.local 8 von 14 Mit list sites wird eine Liste mit Standorten angezeigt, wobei jeder Standort mit einer Nummer verbunden ist. Der Standort wird mit select site 0 ausgewählt, hier Standartname-des-ersten... Es wird eine Bestätigung angezeigt, die den Standort und die Domäne anzeigt, die ausgewählt wurden.

9 GlobalHonknet.local 9 von 14 list servers in site gibt eine Liste mit den Servern des ausgewählten Standortes aus, wobei wieder jeder Server mit einer Nummer verbunden ist. Nun wird select server 2 für Honktopserver eingegeben, um den DC auszuwählen. Es wird eine Bestätigung angezeigt, die den ausgewählten Server, seinen DNS-Hostnamen und den Pfad zu dem Server/DC, der entfernt werden soll enthält.

10 GlobalHonknet.local 10 von 14 Mit quit gelangt man wieder zum Menü metadata cleanup. Jetzt kann das Ziel mit remove selected server entfernt werden. Die Frage nach den Wirklich????? Wurde die Entfernung erfolgreich durchgeführt, wird eine Bestätigung angezeigt (siehe oben). Das Programm ntdsutil kann nun beendet werden.

11 GlobalHonknet.local 11 von 14 Das Objekt NTDS-Einstellungen sollte jetzt entfernt worden sein. Nun sind noch Feinarbeiten auszuführen, um eventuelle Reste des DC/ der Domäne zu entfernen. Zuerst ist der CNAME-Eintrag in der Zone _msdcs.globalhonknet.local im DNS zu entfernen. Ausgehend davon, dass der Domänencontroller neu installiert und heraufgestuft wird, wird ein neues Objekt NTDS-Einstellungen mit einer neuen GUID und einem neuen CNAME-Eintrag erstellt. Delegierungen und Sekundäre Zonen werden entfernt und später wieder neu eingerichtet.

12 GlobalHonknet.local 12 von 14 Zum Entfernen von aus dem Active Directory kann das ADSIEdit-Snap-In verwendet werden. Dazu ist die Datei ADSIEdit.dll nach...\winnt\system32 zu kopieren. Danach ist folgender Befehl auszuführen. Das ADSIEdit-Snap-In wurde erfolgreich registriert In der Managementkonsole kann nun das ADSIEdit-Snap-In ausgewählt und hinzugefügt werden.

13 GlobalHonknet.local 13 von 14 Hier wird in CN=System die Vertrauensstellung zur untergeordneten Domäne gelöscht. Vertrauensstellungen nach dem Löschen mit ADSIEdit.

14 GlobalHonknet.local 14 von 14 In der CN=MicrosoftDNS sind noch Reste der untergeordneten Domäne enthalten, die hier gelöscht werden können. In dieser Dokumentation wurde auf das Entfernen verwaister Domänen eingegangen. Sie beschreibt das Entfernen fehlgeschlagener Domänencontroller-Herabstufungen/Domänen-Offlineschaltung. Diese Anleitung hilft nur zum Verständnis der Arbeit mit ntdsutil und ADSIEdit. Sie ist keine genaue Anleitung, sondern nur ein Leitpfaden. Ansonsten muss jeder von Fall zu Fall entscheiden. Die hier erwähnten Domänen und Server sind rein zufällig gewählt. Jegliche Ähnlichkeit mit real existierenden Domänen ist reiner Zufall und nicht beabsichtigt.