Ativando o controlador de domínio do Windows 2008 inativo

Question

Temos um controlador de domínio (um dos três) que está desativado há vários meses. Não possui funções FSMO, mas é o servidor WSUS.

Na melhor das hipóteses, ligamos e replica com os outros dois e está tudo bem, certo?

Quais são alguns outros cenários dos quais eu deveria estar ciente? Eu poderia simplesmente desativá-lo, se pudesse haver resultados ruins.

Obrigado.

    

Answer 1

Se estiver dentro da vida útil padrão da marca de exclusão de 180 dias, deve estar ok. Além disso, 2008 e mais recentes têm 'Consistência de replicação rígida' ativada por padrão. Isso significa que, se o dc dormente tentou replicar um objeto alterado que foi excluído, o outro dc negaria a replicação de entrada desse dc até que o objeto remanescente fosse removido.

Se a replicação for encerrada devido a objetos remanescentes, o repadmin poderá ser usado para corrigir o problema.

Quando isso acontece, é possível fazer upgrade de 2003 e a replicação restrita nunca foi ativada. Nesse cenário, é possível que objetos remanescentes possam ser reintroduzidos no diretório.

    

Answer 2

Ele provavelmente foi desativado e não será replicado com os outros DCs em seu domínio. A melhor coisa a fazer é uma limpeza de metadados para o controlador de domínio, reinstalar o Windows e reconfigurar o WSUS.

Se você estiver no Server 2003, precisará usar ntdsutil para limpar os metadados do DC. Se você estiver em 2008 ou mais tarde, basta excluir o objeto de computador do ADUC e excluir o objeto NTDS de Sites e Serviços do DC inativo.

Você pode verificar a vida útil da marca de exclusão usando o dsquery ou o PowerShell. No PowerShell:

Import-Module ActiveDirectory
Get-ADObject -Identity "CN=Directory Service,CN=Windows NT,CN=Services,CN=Configuration,DC=example,DC=com" -properties tombstonelifetime

Obviamente, preencha o DN apropriado para o seu ambiente.

Se o seu DC estiver off-line por menos tempo do que o valor retornado para o período de desativação (provavelmente 60 ou 180 dias), será seguro ligar novamente como está.

    

Answer 3

Se ele foi desativado mais curto do que o tempo de desativação da marca de exclusão, você deverá estar OK para ativá-lo novamente. Se tiver sido desativado por mais tempo do que a vida útil da marca de exclusão ou se você não souber, NÃO o ligue novamente. Nesse caso, use o NTDSUTIL para removê-lo do AD.