RODC kann nicht entfernt werden

[Knorkator 12]

Hallo zusammen,

 

die plötzliche "Auflösung" eines Standortes incl. Formatierung der ansässigen Hardware sorgte dafür, dass der RODC nicht sauber aus der Domain entfernt werden konnte.

Wurde verkauft, ging alles ganz flott und na ja.. ist halt so.

 

Nun möchte ich den übrig gebliebenen RODC aus unserem AD entfernen, erhalte aber immer ein Zugriff Verweigert..

Gemäß diesem Artikel habe ich dies per NTDSUTIL durchführen wollen erhalte aber, wie einige weitere Leser dieses Blogs, eine 0x5(Zugriff verweigert) Fehlermeldung.

metadata cleanup: remove selected server
Die FSMO-Rollen werden vom ausgewählten Server übertragen bzw. übernommen.
DsRemoveDsServerW-Fehler 0x5(Zugriff verweigert)

Vielen Dank im voraus für jeden Beitrag!

bearbeitet 12. März 2018 von Knorkator

[Dukel 454]

NTDSUtil bzw. cmd "als Administrator" gestartet?

Hast du im AD entsprechende Rechte?

[Knorkator 12]

Hallo Dukel,

 

ja, habe die cmd als Administrator geöffnet und bin als Domänenadministrator angemeldet..

Rechte sind also vorhanden.

 

 

[zahni 554]

Benutze mal das Konto "Administrator". Du musst u.U. Enterprise-Admin sein.

[Knorkator 12]

Hallo zahni,

 

Ich bin auf einem DC als Administrator angemeldet.

Ein whoami /Groups zeigt an, dass ich u.a. in folgenden Gruppen bin: 

Domain-Admins

Organisations-Admins

Schema-Admins

 

[NorbertFe 2.034]

Du willst einen RODC entfernen? Wieso kommt dann die Meldung, dass FSMO Rollen übertragen werden?

[testperson 1.676]

Hi,

 

hier sollte es reichen das Computer-Konto des RODC im AD User und Computer (dsa.msc) sowie AD Standorte und Dienste (dssite.msc) zu löschen.

Step 1: https://blogs.technet.microsoft.com/canitpro/2016/02/17/step-by-step-removing-a-domain-controller-server-manually/

 

Gruß

Jan

[Knorkator 12]

@NorbertFe

Warum das da steht kann ich Dir leider nicht beantworten..

Und FSMO Rollen hat der nicht..

 

@testperson

Funktioniert leider auch nicht.

 

Ein vermutlich nützlicher Hinweis:

Die Trennung ist schon über ein Jahr her, der DC wird quasi als Deaktiviert angezeigt.

 

[NorbertFe 2.034]

vor 3 Minuten schrieb Knorkator:

@NorbertFe

Warum das da steht kann ich Dir leider nicht beantworten..

Und FSMO Rollen hat der nicht..

 

Das is mir schon klar, dass ein RODC keine FSMO hat. ;) Deswegen frug ich ja nach.

[Knorkator 12]

Na ja.. und ich kann Dir die Meldung leider nicht beantworten.

:)

 

Aber der wurde wirklich als RODC genutzt..

:)

 

Wenn ich den Server aus der OU "Domain Controller\Standort" löschen möchte, fragt er mich auch nach Lösung von Zwischengespeicherten Kennwörtern usw..

:)

bearbeitet 12. März 2018 von Knorkator

[NorbertFe 2.034]

vor 9 Minuten schrieb Knorkator:

Wenn ich den Server aus der OU "Domain Controller\Standort" löschen möchte, fragt er mich auch nach Lösung von Zwischengespeicherten Kennwörtern usw..

Und? Welche Antwort kann man auf die "Frage" geben? Da der RODC ja nicht mehr verfügbar ist, sollte das ja einfach zu beantworten sein, oder? :)

[Knorkator 12]

Also ich habe die Haken entfernt...... da braucht nichts zurückgesetzt zu werden.. Meiner Meinung nach.

 

Die Nachfolgende Fehlermeldung lautet übrigens:

Das Objekt LDAP://Aktiver-DC.Domainl.tld/CN=RODC,OU=Standort,OU=Domain Controllers, DC=Domain,DC=TLD konnte aufgrund folgenden Problems nicht gelöscht werden.

Zugriff verweigert.

[NorbertFe 2.034]

Also "theoretisch" sollte es ausreichen, das Konto des RODC zu löschen. Das löst seit 2008 eigentlich ein metadatacleanup aus. Also nimm halt den Haken weg, dass das Konto vor versehentlichem Löschen geschützt ist. Und entferne ihn in der GUI.

Bye

Norbert

[zahni 554]

http://www.pgeorgiev.com/ntdsutil-dsremovedsserverw-error-0x5access-is-denied-when-performing-metadata-cleanup/

[Knorkator 12]

Vielleicht verstehen wir uns jetzt falsch.

Diese Abfrage bzgl. der Zwischengespeicherten Kennwörter.. dort habe ich keine Haken gesetzt.

Im AD-Objekt des zu löschenden RODCs habe ich unter Objekt, den Haken "Objekt vor zufälligem Löschen schützen" ebenfalls nicht aktiv.

Trotzdem lässt sich der Rechner nicht löschen.

 

 

@Zahni

Das wars!

Navigate to the site/server you want to cleanup
Right click on the “NTDS Settings” object > Properties > Object
Ensure “Protect object from accidential deletion” is unchecked