先用nslookup和telnet确认DNS解析与LDAP连通性，再在ntdsutil中手动connect to server指定可用DC；执行清理前须确保复制正常、FSMO角色已迁移、计算机账户仍存在；严格按metadata cleanup→remove selected server→yes顺序操作。
NTDSUTIL报错“找不到指定的域控制器”怎么办
执行 ntdsutil 时直接进入元数据清理流程却报这个错，本质是工具没连上目标域控制器（dc）——它默认尝试连接当前机器名对应的dc，而该机器可能已下线、dns解析失败或未启用ldap端口。
- 先用
nslookup <dc></dc>确认DNS能解析出IP；如果不行，临时在本地C:\Windows\System32\drivers\etc\hosts加一条静态映射 - 用
telnet <dc_ip> 389</dc_ip>测试LDAP连通性；若超时，检查目标DC是否开机、防火墙是否放行389/636端口 - 跳过自动连接：启动
ntdsutil后，不急着输入metadata cleanup，先执行connections→connect to server（例如connect to server dc02.contoso.com）
执行元数据清理前必须验证的3个前提
强行删掉一个已宕机DC的元数据，可能导致复制中断、FSMO角色丢失甚至整个域无法登录。以下三点缺一不可：
-
repadmin /replsummary显示所有存活DC之间复制状态为“成功”，且无持续失败项；否则先解决复制问题再清理 - 用
netdom query fsmo确认该宕机DC不持有任何FSMO角色；若曾持有，需先用seize（非transfer）方式将角色迁移到健康DC - 该DC的计算机账户仍存在于
OU=Domain Controllers,DC=contoso,DC=com中——如果已被手动删掉，ntdsutil会找不到对象，清理操作会静默失败
metadata cleanup实际操作步骤与关键命令顺序
顺序错一步就可能删错对象或触发意外同步。必须严格按以下流程输入命令（注意大小写和空格）：
- 启动命令行（**以管理员身份运行**），输入
ntdsutil - 输入
metadata cleanup - 输入
remove selected server（例如remove selected server dc01，不是FQDN） - 若提示“服务器未找到”，说明前面DNS或连接没配好；若提示“确认删除”，输入
yes（必须小写） - 退出：连续两次
quit
执行后不会立即生效，AD需通过正常复制将变更同步到其他DC。建议15分钟后在另一台DC上运行 repadmin /showobjmeta "dc02.contoso.com" "CN=dc01,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=contoso,DC=com" 查看该对象是否已标记为“已删除”。
清理后仍出现“KDC cannot verify Kerberos request”类错误
这通常不是元数据残留导致，而是SPN或Kerberos密钥版本（kvno）不一致。清理完元数据只是第一步，还需手动补漏：
- 用
setspn -L检查是否还有残留SPN；若有，用setspn -D删除（例如setspn -D HOST/dc01.contoso.com contoso\dc01） - 在域内任意一台DC上运行
nltest /dsgetdc:contoso.com，确认返回的PDC emulator是当前主控DC；如果不是，用netdom query fsmo再核对 - 重启所有存活DC上的
KDC服务（net stop kdc && net start kdc），强制刷新票据颁发缓存
真正麻烦的是跨站点场景：如果宕机DC属于孤立站点（site link已断），清理后需人工检查 CN=Sites,CN=Configuration 下该site是否还挂有server对象——ntdsutil 不处理site层级，得用ADSI Edit手动删。
