Limpieza de metadatos es un procedimiento necesario después de un retiro forzado de los Servicios de dominio de Active Directory (AD DS). La limpieza de metadatos elimina datos de AD DS que identifica un controlador de dominio para el sistema de replicación. La limpieza de metadatos también elimina Servicio de replicación de archivos (FRS) y el Sistema de archivos distribuido (DFS) Las conexiones de replicación y los intentos de transferir o asumir cualquier maestro de operaciones (también conocido como flexible single master operations o FSMO) que el controlador de dominio eliminado posee.

En definitiva, el Asistente para instalación de Active Directory (Dcpromo.exe) se usa para promover un servidor a controlador de dominio y para degradar un controlador de dominio a servidor miembro (o a un servidor independiente de un grupo de trabajo si el controlador de dominio es el último del dominio). Como parte del proceso de degradación, el asistente quita de Active Directory los datos de configuración del controlador de dominio. Estos datos toman la forma de un objeto de configuración NTDS que existe como elemento secundario del objeto de servidor en Sitios y servicios de Active Directory.

La información se encuentra en la ubicación siguiente de Active Directory:
CN=NTDS Settings, CN=<nombreDeServidor>, CN=Servers, CN=<nombreDeSitio>, CN=Sites, CN=Configuration, DC=<dominio>…

Los atributos del objeto de configuración NTDS incluyen datos que representan la forma en que se identifica el controlador de dominio con respecto a sus asociados de replicación, los contextos de nomenclatura que se mantienen en el equipo, si el controlador de dominio es un servidor de catálogo global y la directiva de consultas predeterminada. El objeto de configuración NTDS también es un contenedor que puede tener objetos secundarios que representen a los asociados de replicación directos del controlador de dominio. Estos datos son necesarios para que el controlador de dominio opere en el entorno, pero se retiran tras la degradación.

Si el objeto de configuración NTDS no se quita correctamente (por ejemplo, si no se quita de forma apropiada tras un intento de degradación), el administrador puede quitar manualmente los metadatos de un objeto de servidor. Tanto en Windows Server 2008 como en Windows Server 2008 R2, el administrador puede quitar los metadatos de un objeto de servidor quitando dicho objeto en el complemento Usuarios y equipos de Active Directory.

En Windows Server 2003 y Windows 2000 Server, el administrador puede usar la utilidad Ntdsutil.exe para quitar manualmente el objeto de configuración NTDS. Los pasos siguientes indican el procedimiento para quitar el objeto de configuración NTDS en Active Directory para un controlador de dominio determinado. En todos los menús de Ntdsutil, el administrador puede escribir help para obtener más información acerca de las opciones disponibles.

Cabe recordar que Windows Server 2003 Service Pack 1 (SP1), y los Service Pack posteriores poseen una versión mejorada de Ntdsutil.exe. Esta versión, en comparación con la del Windows Server 2003 se ha mejorado para completar el proceso de limpieza de metadatos. Esta herramienta hace lo siguiente cuando se ejecuta la limpieza de metadatos:

• Quita el asunto de NTDSA o de configuración NTDS.
• Quita los objetos de conexión AD entrante que los controladores de dominio de destino existentes utilizan para replicar desde el controlador de dominio de origen que se va a eliminar.
• Quita la cuenta de equipo.
• Quita el objeto miembro FRS.
• Quita los objetos suscriptores FRS.
• Intenta asumir las funciones de maestro de operaciones único flexible (también conocido como FSMO, flexible single master operations) que tiene el controlador de dominio que se va a quitar.

Debemos tener una PRECAUCION MUY IMPORTANTE, antes de quitar manualmente el objeto de configuración NTDS para cualquier servidor, debemos asegurarnos de que la replicación se ha realizado sin problemas desde la degradación. Y, obviamnete, que si usamos de forma incorrecta el Ntdsutil podemos provocar la inhabilitación parcial o completa de las funciones de nuestra arquitectura de Active Directory.

En nuestro video de hoy, he tratado de reproducir un ambiente con un problema en la metadata como para mostrarles el procedimiento del proceso, por lo que genere este ScreenCast:

Espero que les sea de interés. Saludos, Roberto Di Lello.