使用 NTDSUTIL 中繼資料清理功能移除已離線網域控制站與子網域實戰範例

當網域控制站 (DC) 永久離線 (硬碟格式化、硬體損壞) 無法正常降級移除 AD 角色時，必須使用 ntdsutil 中繼資料清理功能手動從森林移除其物件，否則 AD 資料庫、網站與服務、信任關係、檔案安全性標籤皆會殘留該 DC/網域資訊。

實戰情境

• 森林包含兩樹系：mm.com (DC: www.mm.com) 與 cc.com (DC: vdc.cc.com)。
• vdc.cc.com 崩潰不修復，需徹底移除 cc.com 樹系。
• 前置條件：www.mm.com 必須為 Schema Master、Domain Naming Master 且為全域目錄 (GC)；否則需先移轉角色/設定 GC。

操作步驟完整記錄

C:> ntdsutil
ntdsutil: metadata cleanup
metadata cleanup: connections
server connections: connect to server www
server connections: q
metadata cleanup: select operation target
select operation target: list sites
select operation target: select site 0
select operation target: list domains in site
select operation target: select domain 1   (cc.com)
select operation target: list servers for domain in site
select operation target: select server 0   (vdc)
select operation target: q
metadata cleanup: remove selected server
metadata cleanup: remove selected domain
metadata cleanup: q
ntdsutil: q

後續清理

1. 重開機驗證：「Active Directory 網域與信任」、「網路芳鄰」中 cc.com 已消失。
2. 「Active Directory 網站與服務」中 vdc 伺服器物件需手動刪除。
3. 檔案/資料夾安全性標籤中的 cc.com 殘留：於「Active Directory 網域與信任」右鍵 mm.com →「屬性」→「信任」移除 cc.com 即可解決。

詳細指令說明請執行 ntdsutil ? 或參考 Microsoft 知識庫相關文件。