NTDSUTIL用于清理Windows域中已离线DC的AD元数据，需在正常DC上以企业管理员权限执行：先验证DC彻底离线、DNS无记录、复制失败，再通过list/select/remove命令删除其元数据，最后验证复制与服务状态。
在windows域环境中，当域控制器（dc）非正常卸载或强制删除后，其元数据仍会残留在active directory数据库中，导致复制错误、对象冲突或无法添加新dc等问题。ntdsutil是微软官方提供的关键工具，用于执行ad元数据清理（metadata cleanup），必须由拥有企业管理员权限的用户操作，且只能在正常运行的域控制器上执行。
确认需要清理的DC状态
执行元数据清理前，务必确保目标DC已彻底离线且无法恢复：
- 服务器物理关机或虚拟机已删除，且未通过快照回滚
- DNS中无该DC的A记录和SRV记录（可通过nslookup -type=all _ldap._tcp.dc._msdcs.<域名>验证）
- 使用repadmin /replsum和dcdiag /test:replications确认其他DC已报告该DC“不可达”或“无响应”
- 在Active Directory 用户和计算机中右键该DC → “属性”，检查“操作主机”角色是否未托管于该DC（若托管，需先转移）
启动NTDSUTIL并进入元数据清理模式
以管理员身份运行命令提示符（非PowerShell），依次输入以下命令：
-
ntdsutil— 进入主界面 -
metadata cleanup— 切换至元数据清理上下文 -
connections— 进入连接管理子菜单 -
connect to server <可用DC的主机名>— 指定当前操作所依赖的在线DC（例如：connect to server dc01.contoso.com） -
quit— 返回metadata cleanup层级
查找并删除目标DC的元数据
在metadata cleanup提示符下执行：
-
list domains— 查看林中所有域，记下目标DC所属域编号（如[0] contoso.com） -
select domain <编号>— 例如：select domain 0 -
list sites— 列出所有站点，找到目标DC所在站点编号 -
select site <编号>— 进入该站点上下文 -
list servers in site— 显示该站点内所有DC，识别待清理DC的编号（如[2] failed-dc.contoso.com） -
select server <编号>— 例如：select server 2 -
remove selected server— 确认执行清理（系统将提示两次，输入yes）
成功后显示“Server reference removed successfully”，表示NTDS Settings对象、NTDS分区引用、站点链接关联等均已清除。
后续验证与收尾操作
清理完成后，需立即验证效果并防止残留问题：
- 运行
repadmin /showrepl，确认无来自已清理DC的失败复制项 - 在Active Directory 站点和服务中展开对应站点 → “服务器”，确认该DC名称已消失
- 使用
nltest /dsgetdc:<域名>测试客户端能否正常定位当前DC - 如原DC曾托管FSMO角色，需提前用
netdom query fsmo确认角色已在其他DC上生效；若未转移，需先用ntdsutil中的roles功能 seize角色 - 建议等待至少一个GC复制周期（默认15分钟）后，再尝试提升新DC
操作不可逆，务必在变更前备份系统状态，并确保网络中无同名主机残留。
