Удаление данных из Active Directory после неудачного понижения роли контроллера домена

Цитата отсюда: http://support.microsoft.com/kb/216498/ru - перед употреблением обязательно читать полностью.

Удалять руками пришлось после того как умер резервный контроллер домена 2003, расположенный на виртуальной машине, и в журнале событий главного КД постоянно сыпались ошибки, связанные с усопшим.

"Первый метод: только для Windows Server 2003 с пакетом обновления 1 (SP1) или более поздним пакетом обновления

Нажмите кнопку Пуск и последовательно выберите пункты Программы, Стандартные и Командная строка.

1. В командной строке введите ntdsutil и нажмите клавишу ВВОД.
2. Введите metadata cleanup и нажмите клавишу ВВОД. Для фактического выполнения удаления необходимо указать дополнительные параметры.
3. Введите команду connections и нажмите клавишу ВВОД. Это меню предназначено для подключения к серверу, на котором происходят изменения. Если текущий пользователь не обладает правами администратора, перед подключением следует указать другую учетную запись. Для этого введите команду set creds имя_доменаимя_пользователяПароль и нажмите клавишу ВВОД. В случае использования пустого пароля введите null.
4. Введите команду connect to server имя_сервера и нажмите клавишу ВВОД. Появится сообщение о подключении к серверу. При возникновении ошибки убедитесь, что доступен контроллер домена, который используется для подключения, а текущая учетная запись обладает правами администратора на сервере.
   
   Примечание. Если выполняется подключение к удаляемому серверу, то при попытке его удаления (действие 15) может появиться следующее сообщение об ошибке:
    

    Ошибка 2094. Невозможно удалить объект DSA0x2094 

    
5. Введите команду quit и нажмите клавишу ВВОД. Появится меню Metadata Cleanup.
6. Введите команду select operation target и нажмите клавишу ВВОД.
7. Введите команду list domains и нажмите клавишу ВВОД. Появится список доменов леса с номерами.
8. Введите команду select domain номер и нажмите клавишу ВВОД, где номер – номер домена, которому принадлежит удаляемый сервер. Выбранный домен используется для проверки того, является ли удаляемый сервер последним контроллером в этом домене.
9. Введите команду list sites и нажмите клавишу ВВОД. Появится список узлов с номерами.
10. Введите команду select site номер и нажмите клавишу ВВОД, где номер – номер узла, которому принадлежит удаляемый сервер. Появится подтверждение выбранного домена и узла.
11. Введите команду list servers in site и нажмите клавишу ВВОД. Появится список серверов узла с номерами.
12. Введите команду select server номер, где номер – номер удаляемого сервера. Появится подтверждение, которое содержит имя выбранного сервера, его DNS-имя и местонахождение учетной записи.
13. Введите команду quit и нажмите клавишу ВВОД. Появится меню Metadata Cleanup.
14. Введите команду remove selected server и нажмите клавишу ВВОД. Должно появиться сообщение об успешном удалении сервера. (Мне повезло, на этом работа по удалению закончилась) Появление следующего сообщения об ошибке свидетельствует о том, что объект NTDS Settings был удален из Active Directory ранее другим администратором или в результате репликации успешного удаления объекта после запуска программы DCPROMO.
     

    Ошибка 8419 (0x20E3)
    Не удается найти объект DSA
    
    Примечание. Это сообщение об ошибке также может появиться при подключении к удаляемому контроллеру домена. Программа Ntdsutil не должна подключаться к контроллеру домена, который будет удаляться при очистке метаданных.
15. Введите в каждом меню команду quit и нажмите клавишу ВВОД, чтобы завершить работу с программой Ntdsutil. Появится сообщение об отключении от сервера.
16. Удалите запись типа cname в зоне _msdcs.корневой_домен_леса на сервере DNS. Предположим, контроллер домена будет установлен повторно и его роль будет повышена. В этом случае создается новый объект NTDS Settings с новым идентификатором GUID и новой записью типа cname в DNS. Если не удалить старую запись типа cname, то она может быть использована существующими контроллерами домена.
    
    Кроме того, рекомендуется удалять имя компьютера и другие связанные с ним записи DNS. По истечении срока аренды адреса DHCP, выделенного данному серверу, другой компьютер может получить этот IP-адрес.
17. С помощью консоли управления DNS удалите в DNS запись A. Запись А также называют записью узла. Для удаления записи типа А щелкните ее правой кнопкой мыши и выберите команду Удалить. Удалите также запись типа cname в контейнере _msdcs. Для этого разверните контейнер _msdcs, правой кнопкой мыши щелкните запись cname и выберите команду Удалить.
    
    Внимание! Если удаляется DNS-сервер, необходимо удалить ссылку на данный контроллер домена на вкладке Серверы имен. Для этого в консоли DNS выберите имя домена в списке Зоны прямого просмотра и удалите сервер на вкладке Серверы имен.
    
    Примечание. Кроме того, сервер необходимо удалить из зон обратного просмотра (если они используются).
18. Если удаленный компьютер был последним контроллером в дочернем домене, который также удаляется, следует с помощью средства ADSIEdit удалить объект trustDomain дочернего домена. Для этого выполните следующие действия:
    1. Выберите в меню Пуск пункт Выполнить, введите команду adsiedit.msc и нажмите кнопку OК.
    2. Разверните контейнер Domain NC.
    3. Разверните DC=имя_домена, DC=COM, PRI, LOCAL, NET.
    4. Разверните узел CN=System.
    5. Щелкните правой кнопкой мыши объект Trust Domain и выберите команду Удалить.
19. Для удаления контроллера домена с помощью оснастки "Active Directory – cайты и службы" Для этого выполните следующие действия:
    1. Запустите оснастку "Active Directory – сайты и службы".
    2. Разверните элемент Узлы.
    3. Разверните узел сервера. По умолчанию используется узел Default-First-Site-Name.
    4. Разверните элемент Сервер.
    5. Щелкните правой кнопкой мыши контроллер домена и выберите команду Удалить.
20. При использовании репликации DFS в системе Windows Server 2008 или более поздней версии текущая версия средства Ntdsutil.exe не выполняет очистку объекта репликации DFS. В этом случае объекты репликации DFS для доменных служб Active Directory (AD DS) можно исправить вручную с помощью оснастки Adsiedit.msc. Для этого выполните действия, указанные ниже.
    1. Войдите на контроллер домена как администратор домена.
    2. Запустите оснастку Adsiedit.msc.
    3. Подключитесь к контексту именования по умолчанию.
    4. Найдите следующий контейнер топологии репликации DFS:
       CN=Topology,CN=Domain System Volume,CN=DFSR-Globalsettings,CN=System,DC=Your Domain,DC=Domain Suffix
       .
    5. Удалите объект CN msDFSR-Member с именем старого компьютера."