Введение
Статья написана на основе материалов wiki.samba.com
В определённых ситуациях может оказаться, что необхотимо навсегда удалить контроллер домена.
В то время, как для обычного участника домена достаточно просто удалить соответствующую учетную запись, для удаления контроллера из домена требуется выполнить процедуру смещения (demoting).
При некорректном смещении контроллера домен может стать нестабильным. Например:
- Могут начаться сбои репликации;
- Оставшиеся контроллеры домена могут замедлять свою работу из-за ожидания ответов при неудачных попытках репликации;
- Вход доменных пользователей может замедлиться, или стать невозможным.
Смещение работающего контроллера домена
Если подлежащий смещению контроллер работает нормально, то:
- Войдите на контроллер, как локальный пользователь.
- Убедитесь, что контроллер на владеет никакими ролями FSMO (flexible single master operations):
- В случае, если этот контоллер владеет одной или более ролью FSMO, передайте роли другому DC. См. Передача роли FSMO
- Опционально, если вы хотите удостовериться, что все записи DNS будут удалены после смещения DC, проверьте и запомните реквизиты контроллера (имя, IP-адрес, objectGUID). Например, для хоста DC2:
ldbsearch -H /var/lib/samba/private/sam.ldb '(invocationId=*)' --cross-ncs objectguid | grep -A1 DC2
dn: CN=NTDS Settings,CN=DC2,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=samdom,DC=example,DC=com
objectGUID: c14a774f-9732-4ec2-b9fa-2156c95c4e48
Собственно, смещение контроллера:
- Остановите сервис samba
Если этот контроллер работал, как доменный сервер DNS:
- Остановите службу DNS (если использовался BIND9_DLZ DNS);
- Убедитесь, что никакие участники домена на используют отключенную службу для разрешения имён DNS.
Смещение отключенного контроллера домена
В таких случаях, как, например, поломка оборудования, требуется сместить с роли контроллера неработающий контроллер домена, для смещения недоступного контроллера используется работающий контроллер.
Применяйте эту процедуру только в тех случаях, когда смещаемый контроллер никогда более не присоединится к домену, и процедура, описанная в предыдущей части, невозможна.
При описанной ниже процедуре все изменения (например, изменения паролей) на будут реплицированы на работающий DC.
Процедура не работает в версиях Samba 4.4 или младше.
Обновите Samba до версии 4.4.0 или более поздней. Подробности см. Обновление Samba.
Чтобы сместить неработающий DC:
- Войдите на работающий контроллер домена
- Убедитесь, что установлена версия Samba 4.4 или более поздняя:
- Убедитесь, что контроллер на владеет никакими ролями FSMO (flexible single master operations):
- В случае, если смещаемый контроллер владеет одной или более ролями FSMO, захватите их на локальном контроллере. См. Захват роли FSMO.
- Убедитесь, что смещаемый контроллер выключен
- Опционально, если вы хотите удостовериться, что все записи DNS будут удалены после смещения DC, проверьте и запомните реквизиты контроллера (имя, IP-адрес, objectGUID). Например, для хоста DC2:
ldbsearch -H /usr/local/samba/private/sam.ldb '(invocationId=*)' --cross-ncs objectguid | grep -A1 DC2
dn: CN=NTDS Settings,CN=DC2,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=samdom,DC=example,DC=com
objectGUID: c14a774f-9732-4ec2-b9fa-2156c95c4e48
In case that the demoted DC ran a DNS service for the Active Directory (AD) zones, verify that domain members and DCs do no longer use this host to resolve the AD DNS zones.
Если этот контроллер работал, как доменный сервер DNS:
- Убедитесь, что никакие участники домена на используют отключенную службу для разрешения имён DNS.