Q18、如何清理AD数据库中的垃圾对象。
如果我们非正常卸载AD子域、DC等，就会在AD元数据库中留下垃圾。比如上面的例子，又比如未经AD卸载就把DC计算机的系统重做了。这些垃圾对象一般来讲无碍大局，但如果我们想优化AD的性能，不想给用户带来不必要的麻烦（比如用户选择登录到已经不存在的子域），就可以利用ntdsutil工具进行元数据库清理（metadata cleanup），来删除垃圾对象。具体操作如下：
1、开始/运行：cmd，在命令行下键入 ntdsutil。
说明：
（1）直接，开始/运行：ntdsutil，也可以。
（2）进行元数据库清理，不要进到目录恢复模式下。
（3）进行元数据库清理，可以在非DC的2000/XP/03计算机上进行。但有些操作（如使用ntdsutil工具进行授权恢复、整理移动AD库文件）必须在DC上进行。
（4）在ntdsutil的每级菜单下都可以通过键入：？或HELP，查看本级菜单下可用的命令。
2、在 ntdsutil: 提示符下，键入 metadata cleanup ，然后按 ENTER。
说明：ntdsutil是个分层的多级命令行工具，用户在键入名字时，可简写，只要不同于本级命令中的其它命令即可。比如上面的命令metadata cleanup可简写为m c。
3、在 metadata cleanup: 提示符下，键入 connections ，然后按 ENTER。
4、在 server connections: 提示符下，键入 connect to server servername，然后按 ENTER。
说明：
（1）其中 servername 是指域控制器的DNS名称，用主机名或FQDN均可。注意：虽然联机说明中提到了可以用IP去连，但实际上发现用IP去连接，会出现参数不正确的出错提示。
（2）在这里要连接的DC，应是一个正常工作的、可操作的DC，而不是你要清理的那个DC对象。
5、键入 quit ，然后按 ENTER 回到 metadata cleanup: 提示符。
6、键入;select;operation target ，然后按 ENTER。
7、键入 list domains ，然后按 ENTER。
说明：此操作将列出林中的所有域，每一域附带与其相关联的一个数字。
8、键入;select;domain number，然后按 ENTER。
说明：其中 number 是与故障服务器所在的域相关的数字。
9、键入 list sites ，然后按 ENTER。
10、键入;select;site number，然后按 ENTER。
说明：其中 number 是指域控制器所属的站点号码。
11、键入 list servers in site ，然后按 ENTER。
说明：这将列出站点上所有服务器，每一服务器附带一个相关的数字。
12、键入;select;server number，然后按 ENTER 。
说明：其中 number 是指要删除的域控制器。
13、键入 quit ，然后按 ENTER，退回到Metadata cleanup 菜单。
接下来，根据需要，删除相应的垃圾对象：
14、键入 remove selected server ，然后按 ENTER。
此时，Active Directory 确认域控制器已成功删除。若收到无法找到对象的错误报告，Active Directory 可能已删除了域控制器。
15、或者键入 remove selected domain，然后按 ENTER。
说明：要想删除域，必须得先删除这个域的server对象（实质是DC）才行。
16、键入 quit 然后按 ENTER 直至回到命令符。
如果清理的是Server对象，还需要：1、到Active Directory 站点和服务上，展开适当站点，删除相应Server对象。2、到Active Directory 用户和计算机上，双击打开Domain Controllers这个OU，删除相应的DC对象。
如果清理的是Domain对象，还需要到Active Directory域和信任关系上，删除相应的已经没有用的信任关系。否则该域名还会出现在登录的域列表。
在实际操作中，必须先做元数据清理，然后再到相应的管理工具中删除相应的对象。若是直接到管理工具中去删，系统将不允许删除。
Q19、欲替换域中唯一的一台DC，如何传送五种主控和转移GC。
一、传送五种主控
操作：
1、安装第二台DC（假设为DC2，原来的为DC1），
2、到相应的管理工具（具体见前）下，右键连接到域控制器：DC2，
3、右键/操作主机/相应标签下，点击更改即可。
说明：
1、其实在图形界面下，操作很简单，关键看能不能成功。
2、目标都在下面，只有架构的特殊，目标在上面。
3、如果DC都是最近安装的，极易成功。如果是运行了一段时间的，就不好说了。但我估计你的成功率应在九成以上，因为一般网管都不太动这个。
4、传送结构主控时，若目标已是GC，会提示出错。可以不理会，继续。因为结构主控负责：更新外部对象的索引（组成员资格），不应该和GC在同一个DC上，应手动移走，否则将不起作用。而单域不需要基础结构主控非得有效，我们一般平常用的都是单域，默认基础结构主控就和GC在一起，不起作用。
5、若传送不成功，不要着急，等5分钟~2小时不等，你什么都没做，再试可能就成功了。可以利用AD站点和服务/站点/默认的第一个站点名/SERVER/DC/ntds setting/AD连接/右键/立即复制副本，来强制AD马上复制。但有时候，仅依赖于此，还是不行，还得等。
6、至于把老DC从AD中去除，在开始/运行/DCPROMO，卸载AD。不要选“这是域中最后一台DC”，若能成功卸载，就一切OK了。如不成功，可以直接把原DC废掉重装。AD中会有原DC的垃圾对象，也不影响什么。若非要清干净，参见前例。
7、如果原角色DC已经无法访问，就只能进行强制传送了，也就是查封（seize）。查封的实质就是强行推出新的主控，会有数据的丢失。在图形界面下会有提示：原主控无法联系，是否强行传送。选择“是”，进行的就是查封操作。
8、利用ntdsutil工具roles下transfer命令和seize命令也可以实现上述操作。实验中发现，无论是用transfer还是seize，关键看是否能连接到原主控。连接下情况，就是传送；不连接情况下就是查封。如：在连接情况下，使用查封（seize）命令，操作的结果仍是传送：原主控不再是主控，目标成为新的主控。
二、转移GC
GC不具有唯一性，可在AD站点和服务中，将DC2设为GC。操作如下：
1、在Default-First-Site-Name/servers/dc2/NTDS Settings/右键/属性。
2、选中“全局编录”。
3、你会看到在选项下面的说明：发布全局目录所需要的时间取决您使用的复制拓扑。
说明：不要急于把DC1断开，应等待足够长的时间，局域网环境一般也就是几分钟。是否将GC的内容成功传送，可在DC2上查看注册表
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNTDSParameters下是否有这样一条：Global Catalog Promotion Complete=1。若未传送完，没有这一条。
标签：
