1.1K
Al eliminar un controlador de dominio de Active Directory, se recomienda utilizar el procedimiento DCPromo (degradar), que le permite eliminar correctamente todos los registros sobre el antiguo controlador de dominio de la base de datos de Active Directory (el objeto de la computadora, la configuración de NTDS, la configuración del sitio, enlaces entre sitios y metadatos de replicación).
¿Por qué la importancia de la limpieza de metadatos de Active Directory?
La limpieza de metadatos de Active Directory es vital para garantizar el estado y la seguridad de su infraestructura de Active Directory. Implica principalmente eliminar datos obsoletos sobre un controlador de dominio que, si se ignora, puede generar problemas importantes:
- Problemas de replicación: Los metadatos sobre un controlador de dominio inexistente pueden generar errores de replicación dentro de los Servicios de dominio de Active Directory (AD DS). Suponiendo que el controlador todavía exista, el sistema puede intentar replicar los datos y causar problemas de eficiencia.
- Conflictos: Los metadatos antiguos pueden generar conflictos que provocan incoherencias en los datos del directorio entre los controladores, lo que provoca desafíos en la gestión de usuarios y recursos.
- Preocupaciones de seguridad: los metadatos obsoletos sobre un controlador de dominio fallido pueden ser explotados por actores maliciosos para obtener acceso no autorizado, lo que representa un riesgo para la seguridad de la red.
- Impedimentos de rendimiento: Los metadatos del servidor obsoletos pueden expandir el tamaño de la base de datos del directorio, lo que resulta en tiempos de inicio de sesión más prolongados y respuestas más lentas al acceder a los objetos de AD.
Por lo tanto, ya sea que utilice el complemento Usuarios y equipos de Active Directory o la herramienta de línea de comandos como ntdsutil, la limpieza de metadatos debe ser un proceso de rutina, lo que garantiza que su red se mantenga confiable, eficiente y segura.
¿Por qué es necesaria la limpieza de metadatos?
Si su controlador falla y no está previsto que regrese, puede realizar una eliminación forzada del controlador de dominio fallido. Este procedimiento se llama limpieza de metadatos. Cuando realice la limpieza de metadatos, eliminará todos los datos sobre el controlador de dominio fallido de los Servicios de dominio de Active Directory (AD DS). Esto limpia correctamente los metadatos de replicación, incluidos los objetos en el Servicio de replicación de archivos (FRS) y el Sistema de archivos distribuido (DFS).
Pista. Tenga en cuenta que debe verificar que no haya roles de FSMO en el DC roto y, si es necesario, puede asignar estos roles a otro DC.
Limpieza de metadatos mediante usuarios y equipos de Active Directory
En un dominio con un nivel funcional de Windows Server 2008 R2 y posterior, puede limpiar los metadatos del servidor mediante la consola gráfica estándar del complemento Usuarios y equipos de Active Directory (dsa.msc).
Para hacer esto, busque el controlador de dominio fallido en la consola ADUC y elimínelo como un objeto de computadora normal. Haga clic derecho sobre él, seleccione Borrary confirme la eliminación.
En el siguiente cuadro de diálogo, marque el elemento «Este controlador de dominio está permanentemente fuera de línea y ya no se puede degradar mediante el asistente de instalación de servicios de dominio de Active Directory (DCPromo)», y haga clic en el botón Eliminar.
Pista. Si aparece el siguiente error cuando intenta eliminar un DC «No tiene suficientes privilegios para eliminar DC02, o este objeto está protegido contra una eliminación accidental», asegúrese de:
- Su cuenta es miembro de la administradores de dominio grupo;
- La opción «Proteja el objeto de la eliminación accidental” debe estar deshabilitado en las propiedades del objeto (complemento ADUC > DC > pestaña Objeto).
Luego, debe abrir el complemento Sitios y servicios de Active Directory (dssite.msc) y eliminar el objeto de configuración de NTDS correspondiente (expandir el sitio del controlador de dominio, que se eliminó a la fuerza, expandir Servidores > expandir el nombre de DC, hacer clic con el botón derecho en NTDS Objeto de configuración > Eliminar). Confirme la eliminación del objeto.
A continuación, ADDS realizará automáticamente la limpieza de metadatos.
Ejecutar la limpieza de metadatos usando ntdsutil
También puede limpiar los metadatos del servidor con la herramienta de línea de comandos ntdsutil (esta es la única forma correcta de forzar la eliminación de DC fallidos en dominios con un nivel funcional de Windows Server 2008 e inferior).
Ejecute el símbolo del sistema como administrador en cualquiera de los controladores de dominio restantes.
Tipo ntdsutil en la línea de comando y presione Entrar.
Introduzca los siguientes comandos uno tras otro:
limpieza de metadatos
eliminar el servidor seleccionado
# especificar el nombre del DC que se eliminará de la base de datos de AD
Presione Sí para eliminar correctamente el objeto DC y los metadatos.
Escribe salir.
Verifique que el controlador de dominio se haya eliminado correctamente:
- Ejecute la consola ADUC. Asegúrese de que el controlador de dominio que eliminó haya desaparecido del contenedor Controladores de dominio;
- Inicie el complemento Sitios y servicios, verifique si su objeto DC no contiene un objeto de configuración NTDS. Si es así, puede eliminar el objeto del servidor en la consola.
Preguntas frecuentes
1. ¿Qué sucede si no se realiza la limpieza de metadatos en Active Directory?
Si se pasa por alto el proceso de limpieza de metadatos después de que un controlador de dominio falla o se retira, pueden ocurrir varios problemas. El directorio activo puede seguir intentando replicar con el controlador de dominio fallido, lo que genera errores de replicación innecesarios. Esto también puede hacer que el sistema retenga información inexacta, lo que genera posibles conflictos y vulnerabilidades de seguridad.
2. ¿Cómo realizo una limpieza de metadatos para un servidor de catálogo global fuera de línea?
La limpieza de metadatos para un servidor de catálogo global fuera de línea sigue el mismo procedimiento que cualquier otro controlador de dominio. Implica el uso del complemento Usuarios y equipos de Active Directory o la herramienta de línea de comandos, ntdsutil, según el nivel funcional de su servidor Windows.
3. ¿Cuáles son los posibles riesgos de seguridad asociados con no realizar la limpieza de metadatos de Active Directory?
No realizar la limpieza de metadatos de Active Directory después de que un controlador de dominio esté permanentemente fuera de línea puede proporcionar una ventana para los actores maliciosos. Potencialmente, pueden explotar los metadatos del servidor desactualizados y obtener acceso no autorizado a su red. Por lo tanto, eliminar rápidamente los metadatos es crucial para mitigar tales riesgos de seguridad.
4. ¿Se puede automatizar la limpieza de metadatos o se necesita una intervención manual?
Si bien ciertos aspectos de la limpieza de metadatos ocurren automáticamente en las versiones de Windows Server 2008 y posteriores, como eliminar un controlador de dominio del contenedor de controladores de dominio, una limpieza completa puede requerir una intervención manual. La limpieza manual puede incluir ntdsutil o eliminar el objeto de servidor del complemento Sitios y servicios de Active Directory.
5. ¿Qué papel juega el objeto de configuración NTDS en el proceso de limpieza de metadatos?
El objeto de configuración de NTDS contiene metadatos cruciales sobre un controlador de dominio, incluidos sus socios de replicación. Cuando se retira un controlador de dominio, su objeto de configuración NTDS asociado también debe eliminarse como parte del proceso de limpieza de metadatos.
6. ¿Qué privilegios son necesarios para realizar la limpieza de metadatos de Active Directory?
Para realizar la limpieza de metadatos de Active Directory, debe ser miembro del grupo Administradores de dominio. Este privilegio le permite eliminar el objeto del servidor fallido y otros registros DNS relacionados con el controlador de dominio dado de baja.
7. ¿Cómo puedo confirmar que la limpieza de metadatos se ha realizado correctamente?
Después de la limpieza de metadatos, puede verificar el éxito verificando si la cuenta de la computadora del controlador de dominio ya no está presente en el contenedor de controladores de dominio. Además, el objeto Configuración de NTDS debería faltar en el complemento Sitios y servicios de Active Directory. Con el símbolo del sistema, puede revisar la lista de servidores en el sitio y asegurarse de que el controlador de dominio eliminado ya no aparezca en la lista.
8. ¿El proceso de limpieza es diferente para un controlador de dominio diferente en el mismo dominio?
No, la limpieza de los metadatos sigue siendo la misma independientemente de si el controlador de dominio formaba parte de los dominios raíz o secundario. Los pasos cruciales implican eliminar la cuenta de la computadora del controlador de dominio, seguido del objeto de configuración NTDS y verificar la limpieza.
9. ¿Cuál es la importancia de las funciones de FSMO durante la limpieza de metadatos?
Los roles FSMO (Flexible Single Master Operation) son esenciales para un entorno AD. Si un controlador de dominio fallido tenía roles FSMO, estos roles deben asumirse o transferirse a otro controlador de dominio funcional antes de realizar la limpieza de metadatos. No hacerlo puede generar problemas potenciales en las operaciones del servicio de directorio.
10. ¿Qué hago si aparece un mensaje de advertencia durante la limpieza de metadatos?
Si aparece un mensaje de advertencia durante la limpieza de metadatos, generalmente indica un problema con los privilegios o la configuración de protección. Asegúrese de que su cuenta sea miembro del grupo Administradores de dominio y que la opción «Proteger el objeto de una eliminación accidental» esté deshabilitada. Si el problema persiste, se recomienda buscar ayuda de un profesional de TI o explorar la documentación oficial de Microsoft.
Terminando
Tomarse el tiempo para una limpieza de metadatos de Active Directory no es solo una tarea administrativa, sino un paso esencial hacia una infraestructura AD saludable. Con la eliminación del controlador de dominio, es necesario asegurarse de que se eliminen todos los rastros, incluidos los metadatos del servidor. Usando herramientas como Active Directory Users and Computers o la línea de comando, puede limpiar metadatos de manera efectiva, según el nivel funcional de su Windows Server.
Sin embargo, recuerde verificar los roles de FSMO en el servidor fallido antes de eliminarlo y asegúrese de que su cuenta tenga los privilegios adecuados. Este proceso evita errores de replicación, conflictos y posibles riesgos de seguridad.
Ya sea que esté tratando con los metadatos del servidor de un controlador de dominio fallido o un servidor de catálogo global fuera de línea, el proceso de limpieza es crucial. Como práctica recomendada, después de la limpieza de metadatos, debe verificar que la cuenta de equipo del controlador de dominio y el objeto de configuración NTDS ya no estén presentes en el contenedor de controladores de dominio respectivo y en el complemento Sitios y servicios.
