先用nslookup和telnet确认DNS解析与LDAP连通性，再在ntdsutil中手动connect to server指定可用DC；执行清理前须确保复制正常、FSMO角色已迁移、计算机账户仍存在；严格按metadata cleanup→remove selected server→yes顺序操作。

NTDSUTIL报错“找不到指定的域控制器”怎么办

执行 ntdsutil 时直接进入元数据清理流程却报这个错，本质是工具没连上目标域控制器（dc）——它默认尝试连接当前机器名对应的dc，而该机器可能已下线、dns解析失败或未启用ldap端口。

• 先用 nslookup 确认DNS能解析出IP；如果不行，临时在本地 C:\Windows\System32\drivers\etc\hosts 加一条静态映射
• 用 telnet 389 测试LDAP连通性；若超时，检查目标DC是否开机、防火墙是否放行389/636端口
• 跳过自动连接：启动 ntdsutil 后，不急着输入 metadata cleanup，先执行 connections → connect to server （例如 connect to server dc02.contoso.com）

执行元数据清理前必须验证的3个前提

强行删掉一个已宕机DC的元数据，可能导致复制中断、FSMO角色丢失甚至整个域无法登录。以下三点缺一不可：

• repadmin /replsummary 显示所有存活DC之间复制状态为“成功”，且无持续失败项；否则先解决复制问题再清理
• 用 netdom query fsmo 确认该宕机DC不持有任何FSMO角色；若曾持有，需先用 seize（非transfer）方式将角色迁移到健康DC
• 该DC的计算机账户仍存在于OU=Domain Controllers,DC=contoso,DC=com中——如果已被手动删掉，ntdsutil 会找不到对象，清理操作会静默失败

metadata cleanup实际操作步骤与关键命令顺序

顺序错一步就可能删错对象或触发意外同步。必须严格按以下流程输入命令（注意大小写和空格）：

• 启动命令行（**以管理员身份运行**），输入 ntdsutil
• 输入 metadata cleanup
• 输入 remove selected server （例如 remove selected server dc01，不是FQDN）
• 若提示“服务器未找到”，说明前面DNS或连接没配好；若提示“确认删除”，输入 yes（必须小写）
• 退出：连续两次 quit

执行后不会立即生效，AD需通过正常复制将变更同步到其他DC。建议15分钟后在另一台DC上运行 repadmin /showobjmeta "dc02.contoso.com" "CN=dc01,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=contoso,DC=com" 查看该对象是否已标记为“已删除”。

清理后仍出现“KDC cannot verify Kerberos request”类错误

这通常不是元数据残留导致，而是SPN或Kerberos密钥版本（kvno）不一致。清理完元数据只是第一步，还需手动补漏：

• 用 setspn -L 检查是否还有残留SPN；若有，用 setspn -D 删除（例如 setspn -D HOST/dc01.contoso.com contoso\dc01）
• 在域内任意一台DC上运行 nltest /dsgetdc:contoso.com，确认返回的PDC emulator是当前主控DC；如果不是，用 netdom query fsmo 再核对
• 重启所有存活DC上的 KDC 服务（net stop kdc && net start kdc），强制刷新票据颁发缓存

真正麻烦的是跨站点场景：如果宕机DC属于孤立站点（site link已断），清理后需人工检查 CN=Sites,CN=Configuration 下该site是否还挂有server对象——ntdsutil 不处理site层级，得用ADSI Edit手动删。