Sono titubante nel rispondere perché penso che questa sia più una domanda di "discussione" che una domanda strettamente di domande e risposte ... ma è un sabato mattina pigro, quindi lo farò comunque.
C'è una buona pratica ben definita qui?
No. (Accidenti, forse questa è stata una risposta facile a tutti ...)
Microsoft fornisce indicazioni su Bingable molto generiche e facilmente googleabili su come degradare i controller di dominio ed eseguire migrazioni di AD e DNS, ma non mi preoccuperò di collegarle a loro né farò finta che rispondano alla tua domanda specifica, perché ovviamente Microsoft non può documentare ogni caso specifico per l'ambiente di ogni diversa organizzazione.
Quindi gli amministratori di sistema / ingegneri come noi sono lasciati colmare le lacune con la nostra competenza ed esperienza in cui Microsoft non ha scritto uno script speciale solo per noi, ed è ciò che ci rende preziosi.
Posso darti un esempio di qualcosa che abbiamo fatto per risolvere questo stesso problema, dal momento che lavoro anche in ambienti sparsi in tutto il mondo con dozzine o più controller di dominio, foreste AD diverse che convivono sulle stesse reti, anche i dispositivi non Windows consumano Servizi DNS dagli stessi controller di dominio, ecc. Spostarsi in nuovi datacenter e uscire da quelli vecchi, necessità di migrare a nuovo hardware o nuove versioni del sistema operativo e semplici vecchi criteri aziendali sono tutte le possibili ragioni per cui dovremmo rimuovere i controller di dominio che erano potenzialmente ancora in uso. E quando hai più organizzazioni eterogenee che attualmente utilizzano quei server DC / DNS, di solito è un processo estenuante ed elaborato di riconfigurazione di ogni client (molti dei quali potrebbero non essere sotto il tuo controllo) prima di mettere fuori servizio il controller di dominio, coinvolgendo i project manager,
Ecco perché dico che non penso che nessuno possa darti la risposta a questa domanda. Ci sono mille modi in cui potresti farlo e alcuni saranno migliori di altri a seconda della struttura e delle esigenze della tua organizzazione.
Qualcosa che abbiamo fatto per affrontare questo problema è creare un VIP per ciascun datacenter e raggruppare tutti i controller di dominio in quel datacenter dietro quel VIP. (Questo VIP è per il servizio DNS solo per ovvi motivi, sto non parlando di bilanciamento Kerberos e LDAP carico.) In questo modo, i clienti può essere configurato per utilizzare tale VIP per la loro resolver DNS, e noi siamo liberi di aggiungere e togliere controller di dominio dietro quel VIP ogni volta e comunque per favore.
Ma non sei di fronte al problema ... quindi date le opzioni che hai fornito:
Aggiungere l'indirizzo IP del controller di dominio in uscita a un nuovo controller di dominio e assicurarsi che DNS sia in ascolto su quell'indirizzo.
Diminuisci il vecchio controller di dominio, lascia il ruolo DNS su di esso e configura un server di inoltro DNS globale sul tuo nuovo server.
Vorrei scegliere l'opzione n. 1, poiché il tuo obiettivo è rimuovere le autorizzazioni dal vecchio server il più rapidamente possibile e l'opzione n. 2 non ti aiuta a sbarazzarti del vecchio server. Con l'opzione n. 2 l'esistenza del server è ancora necessaria. Né andrei con il suggerimento di Mathias R. Jessen di zone stub, perché di nuovo, devi ancora lasciare il vecchio server sul posto e in servizio, il che non è favorevole al tuo obiettivo finale.
Con l'opzione n. 1, per quanto brutta possa essere, puoi ritirare il vecchio server, richiedere risparmi sui costi per la tua azienda, evitare di dover pagare un altro mese di affitto su quel datacenter e ricevere un premio per essere un bravo impiegato.
Modifica: pensando alla nostra chat un po 'di più, penso che potrei aver proiettato i miei requisiti su di te, perché ho requisiti pull-the-plug-ASAP su alcune cose in questo momento, quindi era fresco nella mia mente. Sembra che non si abbia la necessità immediata di spegnere il server al più presto.
Detto questo, non sto cambiando il mio suggerimento, poiché lo preferirei ancora. Applicare l'IP aggiuntivo su un controller di dominio esistente ha funzionato bene per me in scenari molto simili, e preferirei piuttosto che avere una strana appendice vestigiale di un server seduto lì per un periodo di tempo indeterminato.