Permissão negada ao rebaixar o controlador de domínio

Olá,

O erro “Acesso negado” durante o rebaixamento de um controlador de domínio geralmente não está ligado apenas à associação do usuário aos grupos de Administradores de Empresa, Esquema e Domínio. O que ocorre nesse caso é que o processo de demotion precisa remover objetos no contêiner CN=Servers,CN=Primeiro-site-padrao,CN=Sites,CN=Configuration,DC=santacasasc,DC=local, e a conta que você está utilizando não possui permissões efetivas sobre esse objeto específico. Isso pode acontecer por herança de permissões quebrada, ACLs alteradas manualmente ou até mesmo problemas de replicação entre controladores.

O caminho mais direto para validar é abrir o Active Directory Sites and Services (dssite.msc), navegar até o site “Primeiro-site-padrao”, expandir “Servers”, localizar o objeto do servidor que está sendo removido e verificar as permissões de segurança. A conta usada para o rebaixamento precisa ter controle total sobre esse objeto. Se houver delegações ou permissões explícitas negadas, o processo falha mesmo que você esteja em grupos administrativos. Outro ponto crítico é garantir que o controlador de domínio que está sendo rebaixado consiga contato com o SRV-DC02 e que não haja problemas de replicação ou credenciais Kerberos expiradas. Muitas vezes, executar o comando repadmin /syncall /AdeP antes do rebaixamento ajuda a evitar inconsistências.

Se o problema persistir, uma alternativa suportada pela Microsoft é forçar o rebaixamento local usando dcpromo /forceremoval no servidor problemático. Isso remove o AD DS sem tentar atualizar a configuração global. Depois, você precisa manualmente excluir o objeto residual do servidor em Active Directory Sites and Services e limpar metadados com ntdsutil (comando metadata cleanup). Esse procedimento deve ser usado apenas quando o rebaixamento normal não é possível, pois exige limpeza manual posterior.

Portanto, o “Acesso negado” não é genérico: ele indica que a operação de exclusão do objeto do servidor em Configuration não pôde ser concluída por falta de permissão efetiva ou bloqueio de replicação. Recomendo validar ACLs no objeto do servidor, garantir que a conta usada seja o Administrador interno do domínio (não apenas um usuário delegado), e confirmar que a replicação entre os controladores está íntegra antes de tentar novamente. Se ainda falhar, o caminho seguro é o forceremoval seguido de limpeza manual.Espero que você tenha encontrado algo útil aqui. Se isso ajudar a esclarecer melhor a questão, agradeço se puder aceitar a resposta. Caso tenha mais dúvidas, sinta-se à vontade para deixar uma mensagem. Tenha um bom dia.

HP.