必须在正常DC上以企业管理员权限执行NTDSUTIL，按连接→定位→确认→删除四步操作：先验证目标DC彻底离线、DNS无记录、不持FSMO角色且计算机账户仍存在，再依次输入ntdsutil、metadata cleanup、connections、connect to server FQDN等命令，最后运行repadmin和dcdiag验证清理效果。
必须在一台正常运行的域控制器上，以企业管理员身份执行 ntdsutil，按固定顺序完成连接、定位、确认、删除四步操作。跳过任一验证环节或命令顺序错误，都可能导致元数据残留、复制异常甚至fsmo角色紊乱。
清理前必须确认的三项硬性前提
不是“建议做”，而是“不做就无法安全清理”：
- 目标DC已彻底离线：物理关机/虚拟机已删除，且无快照可回滚；DNS中查不到它的A记录和SRV记录（用 nslookup -type=all _ldap._tcp.dc._msdcs.你的域名 验证）
- 它不持有任何FSMO角色：运行 netdom query fsmo，输出中所有角色必须显示在其他健康DC上；若曾持有，需先用 Move-ADDirectoryServerOperationMasterRole 或 seize 迁移
- 它的计算机账户仍存在于 OU=Domain Controllers,DC=xxx,DC=xxx 中：如果已被手动删掉，NTDSUTIL将找不到对象，清理会静默失败
NTDSUTIL标准操作流程（逐行输入，区分大小写）
以管理员身份打开命令提示符（非PowerShell），依次执行：
- ntdsutil
- metadata cleanup
- connections
- connect to server 正常DC的FQDN（例如：connect to server dc01.contoso.com）
- quit（返回 metadata cleanup 层级）
- list domains → 记下目标DC所在域的编号（如 [0] contoso.com）
- select domain 0
- list sites → 记下目标DC所在站点编号（如 [0] Default-First-Site-Name）
- select site 0
- list servers in site → 找到待清理DC的编号（如 [2] failed-dc.contoso.com）
- select server 2
- remove selected server → 系统提示两次，均输入 yes（小写）
成功后显示 “Server reference removed successfully”。退出用两次 quit。
清理后必须做的验证动作
变更不会立刻全网生效，需等待AD复制并人工核对：
- 15分钟后，在另一台DC上运行：repadmin /showobjmeta "另一台DC名" "CN=failed-dc,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=contoso,DC=com"，确认该对象状态为 “Deleted”
- 运行 repadmin /replsum 和 dcdiag /test:replications，确保所有存活DC之间复制状态为 “Success”
- 检查DNS管理器，确认 _msdcs.你的域名 和正向查找区域中，已无该DC的任何SRV或A记录
常见报错与对应解法
“找不到指定的域控制器”：本质是NTDSUTIL没连上可用DC。不要直接输 metadata cleanup，先走 connections → connect to server 指定一个明确在线的FQDN。
“服务器未找到”：说明DNS解析失败或LDAP端口不通。用 nslookup failed-dc.contoso.com 和 telnet IP 389 分别验证解析与连通性，必要时临时加 hosts 映射。
执行 remove 后无反应或报错：大概率是前期某项前提未满足——最常见的是FSMO角色未迁移，或该DC计算机账户已被提前删除。
