Defekter Domaincontroller lässt sich nicht entfernen

[Mario-HS 5]

Hallo allerseits,

 

ich habe in einer Firma drei DCs, von denen einer irreparabel ausgefallen ist.

Jetzt möchte ich ihn als DC entfernen, aber ich bekomme folgende Meldung (siehe Bild).

Der Server hat den GC auch nicht mehr und mit ntdsutil geht es auch nicht.

 

Hat jemand eine Idee, was ich noch versuchen kann?

 

 

 

bearbeitet 24. August 2020 von Mario-HS

[Nobbyaushb 1.472]

Im AD ist das Flag gesetzt vor zufälligem löschen schützen

 

Hatte ich neulich erst bei einem Kunden, sieht zumindest genauso aus.

 

Willst du deine Daten ggf. noch anonymisieren?

 

[Mario-HS 5]

vor 9 Minuten schrieb Nobbyaushb:

Willst du deine Daten ggf. noch anonymisieren?

 

 

 

Die OU ist nicht vor zufälliges Löschen geschützt.

bearbeitet 24. August 2020 von Mario-HS

[NilsK 2.939]

 

Moin,

 

vor 26 Minuten schrieb Mario-HS:

Die OU ist nicht vor zufälliges Löschen geschützt.

das Flag könnte auch auf dem DC-Konto gesetzt sein. Wäre unüblich, aber denkbar.

 

vor 34 Minuten schrieb Mario-HS:

 

und mit ntdsutil geht es auch nicht.

 

Hat jemand eine Idee, was ich noch versuchen kann?

Was hast du denn genau schon versucht? Was sagt denn ntdsutil, wenn "es" nicht geht?

 

Gruß, Nils

 

[Mario-HS 5]

vor 13 Minuten schrieb NilsK:

 

Moin,

 

das Flag könnte auch auf dem DC-Konto gesetzt sein. Wäre unüblich, aber denkbar.

 

Was hast du denn genau schon versucht? Was sagt denn ntdsutil, wenn "es" nicht geht?

 

Gruß, Nils

 

 

[NilsK 2.939]

Moin,

 

wenn ich den Screenshot richtig interpretiere, hast du die (sehr krude) ntdsutil-Syntax nicht richtig eingegeben. Das ist auch nicht ganz ohne.

 

Die Logik ist so: Erst verbindest du dich mit einem DC, um überhaupt was tun zu können (laufender DC). Dann wählst du aus, mit welchem Objekt du etwas tun willst (hier also der nicht mehr vorhandene DC). Das erfordert mehrere Schritte, um das Objekt zu "selektieren". Und ganz am Ende sagst du, was geschehen soll: "remove selected server".

 

Such noch mal in der KB, da gibt es Artikel, die das Schritt für Schritt auflisten. Ich hab grad keine Demoumgebung, die ich kaputtmachen kann, um das durchzuspielen.

 

Gruß, Nils

 

[Nobbyaushb 1.472]

Mal anders gefragt, was hat denn der / die laufenden DC´s für ein OS?

 

Seit 2012(?) geht das prima über die GUI - wenn das Objekt NICHT vor dem löschen geschützt ist.

Wer hält denn die FSMO und die Schema-Master Rolle?

[NorbertFe 2.045]

Üblicherweise ist es, wie Norbert schon sagt, das flag vor zufälligem löschen schützen auf dem dc Konto. 

[Mario-HS 5]

Guten Morgen,

 

danke für die Antworten. Die FSMO liegen bei einem anderen DC und die sind 2012R2 aufwärts.

Der DC ist NICHT vor dem löschen geschützt und die Meldung (siehe bild auf ersten Post) bekomme ich trotzdem.

[NilsK 2.939]

Moin,

 

gut, und wenn du ntdsutil richtig ausführst, was passiert dann?

 

Gruß, Nils

 

[NorbertFe 2.045]

vor 6 Minuten schrieb Mario-HS:

Der DC ist NICHT vor dem löschen geschützt und die Meldung (siehe bild auf ersten Post) bekomme ich trotzdem.

Naja an irgendeiner Stelle wird der Haken trotzdem gesetzt sein. Kann man sich ja mal durchklicken per Sites and Services oder adsiedit.

[NilsK 2.939]

Moin,

 

vor 4 Minuten schrieb NorbertFe:

Kann man sich ja mal durchklicken per Sites and Services oder adsiedit.

oder dsacls fragen. Das Flag ist in Wirklichkeit ein "Deny".

dsacls "CN=Dein-DC,OU=Domain Controllers,DC=sub,DC=dom,DC=tld"

Man könnte auch erst gucken, ob es per ntdsutil geht. Falls da auch eine Verweigerung kommt (und kein Fehler wegen falscher Syntax), dann liegt es tatsächlich an Berechtigungen.

 

Gruß, Nils

[Mario-HS 5]

[BOfH_666 577]

Wie wär's, wenn Du statt der sehr schlecht lesbaren Screenshots, einfach den Text kopierst und hier postest?  .... als Code formatiert bitte. Das erleichtert Dir auch das Unkenntlichmachen sensibler Informationen.   

[NilsK 2.939]

Moin,

 

Ja, das mit dem Text wäre schon prima ...

 

Es scheint also tatsächlich an Berechtigungen zu liegen. Dann jetzt also mal dsacls.

 

Gruß, Nils