域控制器卸载与降级需分三阶段：先安全移出AD拓扑，再清除角色功能，最后清理残留元数据；跳过验证易致复制中断、DNS异常或FSMO丢失。
域控制器卸载与降级不是简单删掉角色，而是分阶段、有依赖的系统性操作。核心在于：先安全移出ad拓扑，再清除角色功能，最后清理残留元数据。跳过验证或强行跳步，极易导致复制中断、dns异常或fsmo角色丢失。
卸载前必须完成的健康检查
降级前不验证，等于埋雷。重点确认三件事：
- 运行 dcdiag /e /v 和 repadmin /replsum，确保所有复制测试（如 Advertising、KnowsOfRoleHolders）显示“passed”，无警告或失败项
- 执行 netdom query fsmo，确认目标DC未持有任何FSMO角色；若持有，需提前转移至其他可用DC
- 检查是否承载关键服务：用 Get-WindowsFeature | Where-Object Installed 确认未启用 DHCP、证书服务（ADCS）、打印服务等依赖AD身份的服务
- DNS客户端设置必须改掉——将本机DNS服务器地址指向其他正常DC，避免降级后解析失效
两种降级方式的选择逻辑
选“正常降级”还是“强制卸载”，取决于网络连通性与服务状态：
- 正常降级适用场景：目标DC能ping通其他DC、DNS解析正常、repadmin /showrepl 显示双向复制成功、本地NTDS服务处于运行状态
- 强制卸载仅限以下情况：服务器宕机无法启动、网卡故障失联、系统盘损坏但需保留OS、或反复提示“无法联系源域控制器”且修复无效
- 注意：强制卸载后，不会通知其他DC，必须人工补做元数据清理，否则会出现“幽灵DC”——在AD站点与服务中持续显示已下线的服务器
图形化降级操作关键步骤
通过服务器管理器操作最直观，但容易在细节上出错：
- 打开“服务器管理器 → 管理 → 删除角色和功能”，选择目标服务器（勿选错）
- 在“服务器角色”页取消勾选Active Directory 域服务，点击“删除功能”
- 弹出提示时，务必点选将此域控制器降级（不是直接删角色）
- 勾选继续删除，输入新本地管理员密码（该密码用于重启后登录工作组环境）
- 若确定该DC是域内最后一台，才勾选“域中的最后一个域控制器”；否则保持默认不勾选
- 点击“降级”，过程不可逆，完成后自动重启
降级后必须做的清理动作
服务器重启后只是“不再是DC”，AD中仍留有它的影子，必须人工清理：
- 在任意正常DC上打开Active Directory 用户和计算机，确认“Domain Controllers”容器中已无该服务器对象
- 打开Active Directory 站点和服务，展开对应站点 → Servers → 找到该DC → 右键其下的NTDS Settings → 选择“删除”
- 进入DNS管理器，依次展开正向查找区域 → _msdcs.域名、_sites、_tcp、_udp等文件夹，手动删除所有含该服务器名的SRV、A、CNAME记录
- 最后运行 repadmin /replsum 和 dcdiag /test:dns，确认其余DC复制与解析恢复正常
整个流程不复杂但容易忽略验证和清理环节。一次干净的降级，靠的是前置检查扎实、操作路径清晰、后续收尾完整。
