Declassare i controller di dominio e i domini

Questo articolo illustra come rimuovere Dominio di Active Directory Services (AD DS) usando Server Manager o Windows PowerShell.

Flusso di lavoro della rimozione di AD DS

Il diagramma del flusso di lavoro seguente illustra i passaggi per rimuovere Active Directory Domain Services.

Caution

La rimozione dei ruoli dei Servizi di dominio Active Directory con Dism.exe o il modulo DISM di Windows PowerShell dopo l'innalzamento di livello a Controller di dominio (DC) non è supportata e impedisce l'avvio normale del server.

Diversamente da Server Manager o dal modulo di distribuzione di Servizi di dominio Active Directory per Windows PowerShell, lo Strumento di gestione e manutenzione immagini distribuzione è un sistema di manutenzione nativo senza conoscenze inerenti ai Servizi di dominio Active Directory o alla loro configurazione. Non è consigliabile usare Dism.exe o il modulo DiSM di Windows PowerShell per disinstallare il ruolo Servizi di dominio Active Directory, a meno che il server non sia più un controller di dominio.

Abbassamento di livello e rimozione del ruolo con PowerShell

Cmdlet di ADDSDeployment e di ServerManager	Arguments (Bold arguments are required. Italicized arguments can be specified by using Windows PowerShell or the AD DS Configuration Wizard.)
Uninstall-ADDSDomainController	-SkipPreChecks -LocalAdministratorPassword -Confirm -Credential -DemoteOperationMasterRole -DNSDelegationRemovalCredential -Force -ForceRemoval -IgnoreLastDCInDomainMismatch -IgnoreLastDNSServerForZone -LastDomainControllerInDomain -Norebootoncompletion -RemoveApplicationPartitions -RemoveDNSDelegation -RetainDCMetadata
Uninstall-WindowsFeature/Remove-WindowsFeature	-Name -IncludeManagementTools -Restart -Remove -Force -ComputerName -Credential -LogPath -Vhd

To learn more about how to demote your DC using PowerShell, see the Uninstall-ADDSDomainController and Uninstall-WindowsFeature PowerShell references.

Quando si usa Uninstall-ADDSDomainController e Uninstall-WindowsFeature, questi comandi richiedono solo gli argomenti minimi in quanto eseguono una singola azione. Pressing the Enter key during the confirmation phase initiates the irrevocable demotion process and restarts your device.

The Credential argument is only required if you aren't already signed in as a member of the Enterprise Admins group or the Domain Admins group. The IncludeManagementTools argument is only required if you want to remove all of the AD DS management utilities.

Demote

Rimuovere ruoli e funzionalità

Esistono due metodi che è possibile usare per rimuovere il ruolo Servizi di dominio Active Directory:

• The Manage menu on the main dashboard, using Remove Roles and Features

  

• Select AD DS or All Servers on the navigation pane. Scorrere verso il basso fino alla sezione Ruoli e funzionalità. Fare clic con il pulsante destro del mouse su Active Directory Domain Services nell'elenco Ruoli e funzionalità e scegliere Rimuovi ruolo o funzionalità. This interface skips the Server Selection page.

  

The ServerManager cmdlets Uninstall-WindowsFeature and Remove-WindowsFeature prevent you from removing the AD DS role until you demote the domain controller.

Server selection

The Server Selection dialog enables you to choose from one of the servers previously added to the pool, as long as it's accessible. Il server locale che esegue Server Manager è sempre automaticamente disponibile.

Ruoli del server e funzionalità

Deselezionare la casella di controllo Servizi di dominio Active Directory per abbassare di livello un controller di dominio; se il server è attualmente un controller di dominio, questo non rimuove il ruolo Servizi di dominio Active Directory e passa invece a una finestra di dialogo Risultati convalida con l'offerta per abbassare di livello. In caso contrario, vengono rimossi i file binari come avviene per qualsiasi altra funzionalità di ruolo.

• Non rimuovere altri ruoli o funzionalità relativi a Active Directory Domain Services, come DNS, Console Gestione Criteri di gruppo o strumenti di amministrazione remota del server se si intende promuovere nuovamente il controller di dominio immediatamente. La rimozione di altri ruoli e funzionalità aumenta il tempo necessario per la ripromozione, perché Server Manager reinstalla queste funzionalità quando si reinstalla il ruolo.
• Se si intende abbassare definitivamente di livello il controller di dominio, rimuovere i ruoli e le funzionalità di Servizi di dominio Active Directory non necessari a propria discrezione. Sarà necessario deselezionare le caselle di controllo relative a tali ruoli e funzionalità.

L'elenco completo di ruoli e funzionalità di Servizi di dominio Active Directory include:

• Modulo di Active Directory per la funzionalità Windows PowerShell
• Funzionalità di Strumenti per i Servizi di dominio Active Directory e AD LDS
• Funzionalità Centro di amministrazione di Active Directory
• Funzionalità Snap-in e strumenti da riga di comando di AD DS
• DNS Server
• Console Gestione Criteri di gruppo

I cmdlet ADDSDeployment e ServerManager di Windows PowerShell equivalenti sono:

Uninstall-ADDSDomainController
Uninstall-WindowsFeature

Credentials

You configure demotion options on the Credentials page. Fornire le credenziali necessarie per eseguire l'abbassamento di livello attenendosi all'elenco seguente:

• L'abbassamento di livello di un controller di dominio aggiuntivo richiede le credenziali di amministratore di dominio. Selezionando Forza la rimozione di questo controller di dominio il controller di dominio viene declassato senza che i metadati dell'oggetto controller di dominio vengano rimossi da Active Directory.

  Warning

  Non selezionare questa opzione a meno che il controller di dominio non sia in grado di contattare altri controller di dominio e non esiste un modo ragionevole per risolvere il problema di rete. Il declassamento forzato lascia orfani i metadati in Active Directory sui controller di dominio rimanenti nella foresta. Inoltre, tutte le modifiche non replicate nel controller di dominio, ad esempio password o nuovi account utente, vengono perse per sempre. I metadati orfani sono la causa principale di una elevata percentuale di casi riportati al supporto tecnico Microsoft riguardanti i Servizi di dominio Active Directory, Exchange, SQL e altre applicazioni software.

  If you forcibly demote a domain controller, you must manually perform metadata cleanup immediately. Per informazioni sulla procedura, vedere la pagina relativa alla pulizia dei metadati del server.

  

• Per dismettere l'ultimo controller di dominio in un dominio, è necessario appartenere al gruppo Enterprise Admins, poiché ciò rimuove il dominio stesso (se è l'ultimo dominio nella foresta, verrà rimossa anche la foresta). Server Manager ti informa se il controller di dominio corrente è l'ultimo controller di dominio nel dominio. Selezionare la casella di controllo Ultimo controller di dominio per confermare che questo è l'ultimo controller di dominio nel dominio.

Gli argomenti ADDSDeployment di Windows PowerShell equivalenti sono:

-Credential <PSCredential>
-ForceRemoval <{ $true | $false }>
-LastDomainControllerInDomain <{ $true | $false }>

Warnings

The Warnings page alerts you to the possible consequences of removing this domain controller. Per continuare, è necessario selezionare Procedi alla rimozione.

Se in precedenza è stato selezionato Rimozione forzata controller di dominio nella pagina Credenziali, la pagina Avvisi mostra tutti i ruoli Flexible Single Master Operations ospitati da questo controller di dominio. You must seize the roles from another domain controller immediately after demoting this server. Per ulteriori informazioni sull'acquisizione dei ruoli FSMO, vedere Acquisire il ruolo Master delle operazioni.

Questa pagina non ha un argomento ADDSDeployment di Windows PowerShell equivalente.

Removal Options

The Removal Options page appears, depending on previously selecting Last domain controller in the domain on the Credentials page. Questa pagina consente di configurare opzioni di rimozione aggiuntive. Selezionare Ignora ultimo server DNS per la zona, Rimuovi partizioni applicative e Rimuovi la delega DNS per abilitare il pulsante Avanti.

Le opzioni vengono visualizzate solo se applicabili a questo controller di dominio. Ad esempio, se non è presente alcuna delega DNS per questo server, tale casella di controllo non viene visualizzata.

Select Change to specify alternate DNS administrative credentials. Select View Partitions to view extra partitions the wizard removes during the demotion. Per impostazione predefinita, le uniche altre partizioni sono DNS di dominio e Zone DNS della foresta. Tutte le altre sono partizioni non Windows.

Gli argomenti del cmdlet di ADDSDeployment equivalenti sono:

-IgnoreLastDnsServerForZone <{ $true | false }>
-RemoveApplicationPartitions <{ $true | false }>
-RemoveDNSDelegation <{ $true | false }>
-DNSDelegationRemovalCredential <PsCredential>

Nuova password dell'amministratore

La pagina Nuova Password Amministratore richiede di fornire una password per l'account di amministratore predefinito del computer locale, una volta completato il declassamento e il computer diventa un server membro del dominio o del gruppo di lavoro.

The Uninstall-ADDSDomainController cmdlet and arguments follow the same defaults as Server Manager if not specified.

The LocalAdministratorPassword argument is special:

• If not specified as an argument, then the cmdlet prompts you to enter and confirm a masked password. Questo è il metodo di utilizzo consigliabile quando il cmdlet viene eseguito in modo interattivo.
• Se viene indicato con un valore, tale valore deve essere una stringa sicura. Questo non è il metodo di utilizzo consigliabile quando il cmdlet viene eseguito in modo interattivo.

For example, you can manually prompt for a password by using the Read-Host cmdlet to prompt the user for a secure string.

Uninstall-ADDSDomainController -LocalAdministratorPassword (Read-Host -Prompt "Password:" -AsSecureString)

Come le due opzioni precedenti non confermano la password, usare estrema cautela. La password non è visibile.

È inoltre possibile specificare una stringa sicura come variabile di testo in chiaro convertita, anche se questo metodo è sconsigliato. For example:

Uninstall-ADDSDomainController -LocalAdministratorPassword (ConvertTo-SecureString "Password1" -AsPlainText -Force)

Non è consigliabile specificare o archiviare una password non crittografata. In questo modo, la password di amministratore locale per il computer diverrebbe nota a chiunque esegua questo comando in uno script o riesca a leggerla dallo schermo dell'utente. Conoscendola, chiunque avrebbe accesso a tutti i dati e potrebbe rappresentare il server stesso.

Confirmation

The Confirmation page shows the planned demotion; the page doesn't list demotion configuration options. È l'ultima pagina visualizzata dalla procedura guidata prima dell'inizio del declassamento. Il pulsante Visualizza script crea uno script di declassamento di Windows PowerShell.

Select Demote to run the following AD DS Deployment cmdlet:

Uninstall-ADDSDomainController

Use the optional Whatif argument with the Uninstall-ADDSDomainController and cmdlet to review configuration information. In questo modo è possibile visualizzare i valori espliciti e impliciti degli argomenti di un cmdlet.

For example:

Il prompt per riavviare è l'ultima opportunità per annullare questa operazione quando si usa ADDSDeployment per Windows PowerShell. To override that prompt, use the -force or confirm:$false arguments.

Demotion

When the Demotion page displays, the domain controller configuration begins and can't be halted or canceled. I dettagli delle operazioni vengono visualizzati in questa pagina e scritti nei log:

• %systemroot%\debug\dcpromo.log
• %systemroot%\debug\dcpromoui.log

To accept the reboot prompt automatically, use the -force or -confirm:$false arguments with any ADDSDeployment Windows PowerShell cmdlet. To prevent the server from automatically rebooting at the end of promotion, use the -norebootoncompletion:$false argument.

Warning

Si sconsiglia di forzare il riavvio. Il server membro deve essere riavviato per funzionare correttamente.

Here's an example of forcibly demoting with its minimal required arguments of -forceremoval and -demoteoperationmasterrole. The -credential argument isn't required because the user logged on as a member of the Enterprise Admins group:

Here's an example of removing the last domain controller in the domain with its minimal required arguments of -lastdomaincontrollerindomain and -removeapplicationpartitions:

Se si tenta di rimuovere il ruolo Active Directory Domain Services prima di abbassare il livello del server, Windows PowerShell blocca l'operazione con un errore:

Important

È necessario riavviare il computer dopo aver abbassato il livello del server prima di poter rimuovere i file binari del ruolo AD-Domain-Services.

Results

The Results page shows the success or failure of the promotion and any important administrative information. Il controller di dominio viene riavviato automaticamente dopo 10 secondi.