有没有一种安全的方法可以绕过非复制 DC？

Question

我们有一个虚拟化的域控制器；这导致了我们现在看到的后果的复制问题。我已将 PDC 模拟器和其他 fsmo 角色移至新的 DC，我们正致力于停用虚拟化的 DC。

同时，我正在尝试解决组策略处理的问题。某些工作站在尝试处理策略时将“domain.local”解析为虚拟化/故障 DC 的 IP 地址。当他们尝试从此 DC 下载 GPO 时，由于复制问题，它们不可用。我想要做的是从为该域 (\domain.local\sysvol) 提供服务的 DFS 服务器列表中安全地删除该 DC。有安全的方法吗？这只是一个临时的创可贴，直到我们能够使出现故障的 DC 退役。

我也愿意接受其他建议。

Answer 1

A从domain.localDNS 中的名称中删除其记录，然后修改其 DNS 服务的设置，使其不会将其放回原处。

如果复制被破坏了，那么将它保留任何时间长度不会有很多好处 - 为什么不关闭它，从域中烧掉它的所有内存（也称为元数据清理）和抓住它留下的任何角色？

Answer 2

您应该找到修复它的方法，或者尽快关闭它并从 Active Directory 中删除对它的任何引用（使用NTDSUTIL的元数据清理功能）；只要 Active Directory 认为它仍然存在，域成员就会尝试登录它（并且有任何问题）。

如果你想保留它而不是退役它，你应该尝试（强行）降级它，然后再升级它；这应该解决复制问题：

http://support.microsoft.com/kb/875495

如果你不能修复或降级它，至少关闭它（或断开它与网络的连接）；这是确保没有人尝试登录的唯一安全方法。如果它可以在网络上访问，那么迟早会有人或某物尝试使用它。