none
RODCの降格に失敗(?)した時の対処方法について RRS feed

  • 質問

  • いつもお世話になっております。


    読み取り専用ドメインコントローラー(以下、RODC)でdcpromoを実行して降格したのですが、「ADユーザーとコンピューター」>「Domain Controllers」OUに該当サーバーのコンピューター オブジェクトが残ったままの状態となっております。(なお、RODC上で再度dcpromoを実行したところ、ウィザードには「このウィザードで、Active Directory ドメイン サービス (AD DS) をこのサーバーにインストールし、サーバーを Active Directory ドメイン コントローラーにすることができます」と表示されたことから、OSとしては降格が完了していると認識している模様です)

    シナリオは異なりますが、RODCを降格できないケースとしてRODCが盗難された場合の対処方法を目にしました。

    盗難された RODC のアカウントのセキュリティ保護

    https://technet.microsoft.com/ja-jp/library/cc835486%28v=ws.10%29.aspx?f=255&MSPPError=-2147217396

    上記のリンク先では、RODCのコンピューター オブジェクトの手動削除だけが案内されているのですが、これ以外に必要な処理は無いのでしょうか?


    下記の手順にて検証を行いましたが、操作ミスや不足点はありますでしょうか?

    <検証内容>

    DC01:DC

    DC02:RODC

    ※DC01、DC02共にWindows Server 2008 R2

    1.DC01の「ADユーザーとコンピューター」>「Domain Controllers」OUにあるDC02のコンピューター オブジェクトを手動削除。

    ※この際に「このドメイン コントローラー アカウントのすべてのメタデータを削除します。」と表示されたことから、「metadata cleanup」に相当する処理が行われていると推測。

    2.DC01の「ADサイトとサービス」>「Sites」>「Default-First-Site-Name」>「Servers」配下にあるDC02を手動削除。

    3.DC01の「DNS」でC02に関する全てのレコードを削除。
    ※「Domain Name」>「DomainDnsZones」>「_sites」>「Default-First-Site-Name」>「_tcp」の中にあったSRVレコードと
    「Domain Name」>「ForestDnsZones」>「_sites」>「Default-First-Site-Name」>「_tcp」の中にあったSRVレコード。

    よろしくお願い申し上げます。

    2015年6月8日 3:54

回答

  • oooohです。

    概ね、その手順でいいと思いますが、

    手順2にて「レプリケーショントポロジの確認」しといたほうが良さそうです。

    あとDNSのキャッシュクリア(できればサービス再起動)も。

    2015年6月8日 7:16
  • チャブーンです。

    oooohさんのコメントにちょっと補足しておきますと...。

    RODCのオブジェクトを手動削除した場合、KCC関連もすべてリセットされ、RODCの影響はなくなります。そもそもRODCの立ち位置は、「特定のWindows Server 2008ドメインコントローラ」から一方的に複製を行う関係ですから、トラブルというのは(仮にあったとしても)そのDC間との限定的なもので、すべてのドメインコントローラに直接影響を与えることはない、という理解です。


    フォーラムは有償サポートとは異なる「コミュニティ」です。フォーラムでご質問頂くにあたっての注意点 をご一読のうえ、お楽しみください。

    • 回答の候補に設定 佐伯玲 2015年6月9日 1:32
    • 回答としてマーク 佐伯玲 2015年6月10日 5:48
    2015年6月8日 7:58
    モデレータ

すべての返信

  • oooohです。

    概ね、その手順でいいと思いますが、

    手順2にて「レプリケーショントポロジの確認」しといたほうが良さそうです。

    あとDNSのキャッシュクリア(できればサービス再起動)も。

    2015年6月8日 7:16
  • チャブーンです。

    oooohさんのコメントにちょっと補足しておきますと...。

    RODCのオブジェクトを手動削除した場合、KCC関連もすべてリセットされ、RODCの影響はなくなります。そもそもRODCの立ち位置は、「特定のWindows Server 2008ドメインコントローラ」から一方的に複製を行う関係ですから、トラブルというのは(仮にあったとしても)そのDC間との限定的なもので、すべてのドメインコントローラに直接影響を与えることはない、という理解です。


    フォーラムは有償サポートとは異なる「コミュニティ」です。フォーラムでご質問頂くにあたっての注意点 をご一読のうえ、お楽しみください。

    • 回答の候補に設定 佐伯玲 2015年6月9日 1:32
    • 回答としてマーク 佐伯玲 2015年6月10日 5:48
    2015年6月8日 7:58
    モデレータ
  • ooooh 様

    投稿ありがとうございます。

    投稿していただいた「レプリケーション トポロジの確認」ですが、チャブーン様の投稿も拝見した上で再確認したところ、ADサイトとサービス」>(省略)「Servers」配下は以下のように表示されていました。

    DC01(DC)

     NTDS Settings

     ※右ペインには「このビューに表示する項目はありません。」表示。

    DC02(RODC)

     ※「NTDS Settings」の表示なし。

    また、以下のリンク先も併せて確認し、レプリケーションは一方向(DC → RODC)のためにレプリケーショントポロジは問題にならないと考えております。

    RODCの機能

    https://technet.microsoft.com/ja-jp/library/cc753223(v=ws.10).aspx

    投稿していただいた内容が上記の技術情報に繋がり、理解を深める結果となったことに感謝しております。

    DNSのキャッシュクリア(できればサービス再起動)も参考にさせていただきます。

    お忙しい中、貴重なお時間を割いて投稿していただき、ありがとうございました。

    2015年6月10日 2:02
  • チャブーン 様

    投稿ありがとうございます。

    投稿していただいた内容から以下の技術情報に繋がり、理解を深める結果となったことに感謝しております。

    RODCの機能

    https://technet.microsoft.com/ja-jp/library/cc753223(v=ws.10).aspx

    お忙しい中、貴重なお時間を割いて投稿していただき、ありがとうございました。

    2015年6月10日 2:04