Dar de baja un servidor de forma segura: eliminarlo de todos los sistemas que aún confían en él

Objetivo

Retirar un servidor sin dejar referencias obsoletas en el DNS, la monitorización, las copias de seguridad o el servicio de directorio, y sanitizar su almacenamiento de forma adecuada al tipo de medio antes de reutilizarlo o desecharlo.

Requisitos previos

El registro de inventario que enumera todos los sistemas que hacen referencia a este host; permisos para eliminar entradas en los sistemas de DNS, monitorización, copias de seguridad y directorio; y un plan de sanitización de medios si los discos se van a reutilizar o van a salir del control de la organización.

Pasos

1. Confirma que nada sigue dependiendo del host (conexiones activas, trabajos que lo tengan como destino, entradas en balanceadores de carga) y drena primero el tráfico.
2. Elimina o actualiza los registros DNS (directos e inversos) para que el nombre y la IP ya no resuelvan a un servicio activo.
3. Quita el host de la monitorización, los paneles y los runbooks.
4. Desactiva sus trabajos de copia de seguridad; conserva o elimina las copias existentes según la política de retención.
5. Revoca las credenciales emitidas para este host: las entradas de confianza en known_hosts, las credenciales de cuentas de servicio y de API, y los certificados TLS que lo nombran (revócalos, no esperes a que caduquen).
6. Si el host está unido al dominio, elimina su objeto de equipo con Remove-ADComputer -Identity <name>, un cmdlet cuya documentación dice que "Removes an Active Directory computer". Haz una vista previa con -WhatIf; para deshacerlo hace falta la Papelera de reciclaje de AD o una restauración autoritativa. Los objetos con objetos hijos (como los nodos de un clúster) requieren Remove-ADObject -Recursive.
7. Sanitiza el almacenamiento antes de reutilizarlo o desecharlo, eligiendo el método según el medio. NIST SP 800-88 Rev. 2 define la sanitización como hacer "access to target data on the media infeasible for a given level of effort" (inviable el acceso a los datos del medio para un nivel de esfuerzo dado), mediante Clear, Purge o Destroy:
   • SSD/NVMe: la sobrescritura no es fiable por el wear-leveling, así que usa el borrado propio de la unidad. En NVMe sirven nvme format <device> --ses=1 (borrado de datos de usuario) o --ses=2 (borrado criptográfico); un simple nvme format usa por defecto --ses=0, "No secure erase operation requested" (no se solicita ninguna operación de borrado seguro). nvme sanitize y el secure-erase/sanitize de ATA son alternativas donde estén disponibles. blkdiscard solo aplica TRIM a los sectores ("is used to discard device sectors") y no garantiza que las celdas flash se borren, por lo que no es un método de sanitización.
   • Volúmenes LUKS: cryptsetup luksErase <device> (sintaxis más reciente: cryptsetup erase) borra todos los keyslots y deja el contenedor "permanently inaccessible" (permanentemente inaccesible). Esto cuenta como borrado criptográfico solo si todos los datos estuvieron cifrados desde la primera escritura y no sobrevive ninguna copia de seguridad de la cabecera LUKS ni copia de la clave del volumen.
   • HDD: la sobrescritura completa del dispositivo es una técnica Clear, pero no alcanza los sectores reasignados. Purge usa el comando sanitize/secure-erase de la unidad o la desmagnetización, y Destroy significa destrucción física.
   • Volúmenes en la nube: elimina el volumen y destruye su clave gestionada por el cliente, si la usas.
8. Marca el registro de inventario como retirado en lugar de eliminarlo.

Resultado esperado

Ninguna entrada de DNS, monitorización, copias de seguridad o directorio hace referencia al host, sus credenciales están revocadas y el almacenamiento está sanitizado según su tipo de medio.

Límites y base de verificación

NIST SP 800-88 trata Clear, Purge y Destroy como niveles de garantía distintos, no como opciones intercambiables; la elección depende de la sensibilidad de los datos y de si el medio sale del control de la organización, y el resultado debe verificarse y registrarse. Según las capacidades de la unidad, nvme format puede borrar todos los espacios de nombres del controlador; ninguno de estos comandos se puede deshacer, así que comprueba antes la ruta del dispositivo (lsblk, nvme list). Eliminar un objeto de equipo de AD no invalida los tickets Kerberos ya emitidos, que siguen siendo válidos hasta que caducan; ocúpate de las cuentas de servicio y delegaciones relacionadas en el paso 5.