Windows Server 2025 / Cara menggabungkan klien Windows ke domain Active Directory

Untuk memasukkan CLIENT1 ke domain Active Directory (AD), diperlukan edisi Windows yang mendukung, DNS internal yang berfungsi, koneksi ke domain, dan izin membuat atau menggunakan kembali akun komputer. Atur CLIENT1 agar memakai DNS DC1, gabungkan ke ad.example.test, lalu mulai ulang setelah keberhasilan dikonfirmasi. Periksa keanggotaan komputer dan identitas sesi pengguna secara terpisah.

Siapkan DNS dan izin bergabung

Gunakan edisi yang mendukung domain AD, misalnya Windows 11 Pro atau Enterprise. Windows Home tidak mendukung proses ini. Bergabung atau mendaftarkan perangkat ke Microsoft Entra ID merupakan operasi berbeda. AD dan DNS DC1 harus sudah berfungsi di jaringan terisolasi bersama, sesuai latihan membuat domain pertama. Untuk melakukan penggabungan, Anda memerlukan hak administrator lokal di CLIENT1 serta izin yang sesuai pada AD.

• Tetapkan nama akhir CLIENT1 dan periksa akses administrator lokal sebelum mengubah keanggotaan. Pertahankan akses konsol VM.
• Atur DNS adaptor lab ke 172.24.50.10. Jika memakai DHCP, periksa opsi yang benar-benar diterima serta mode IP dan DNS yang direncanakan. DNS publik alternatif tidak menggantikan DNS internal AD.
• Periksa tanggal, waktu, jaringan virtual bersama, dan komunikasi dengan DC1. Jangan mematikan firewall untuk menutupi masalah aturan atau cakupannya.
• Siapkan akun dengan hak membuat objek komputer di lokasi tujuan atau menggunakan kembali objek yang sudah ada. Hak administrator lokal berbeda dari izin pada AD.

Resolve-DnsName '_ldap._tcp.dc._msdcs.ad.example.test' -Type SRV -Server 172.24.50.10
nltest /dsgetdc:ad.example.test

Dalam lab ini, jawaban rekaman layanan SRV seharusnya menunjuk layanan pengontrol yang diharapkan, misalnya dc1.ad.example.test. Nltest seharusnya menemukan pengontrol untuk ad.example.test. Rekaman SRV yang tersedia belum membuktikan seluruh komunikasi penggabungan berfungsi. Jika kueri pertama berhasil tetapi perintah kedua gagal, periksa juga DNS yang dikonfigurasi pada CLIENT1. Penemuan yang berhasil tidak memberikan izin bergabung atau membuktikan kebenaran kata sandi.

Jalankan kedua kueri pada CLIENT1 sebelum memasukkan kata sandi domain. Kueri pertama secara eksplisit memakai DNS 172.24.50.10, sedangkan perintah kedua mencari pengontrol domain berdasarkan konfigurasi klien. Jika penemuan gagal, periksa adaptor, DNS, konektivitas, dan waktu sebelum mengulangi kredensial. Izin untuk bergabung ke domain berbeda antara membuat akun komputer baru dan menggunakan kembali akun yang sudah ada. Delegasikan hanya hak yang diperlukan pada kontainer atau unit organisasi (OU) tujuan, tanpa menjadikan pengguna harian anggota administrator domain demi kemudahan.

Gabungkan CLIENT1 melalui System Properties

1. Pada CLIENT1, jalankan sysdm.cpl, buka Computer Name → Change. Pastikan komputer yang diubah benar dan Anda memiliki hak administrator lokal.
2. Di Member of, pilih Domain dan masukkan ad.example.test sebagai nama DNS domain. Konfirmasikan dengan OK.
3. Saat diminta, masukkan akun domain yang berwenang, misalnya AD\namaakun dengan nama sebenarnya. Kata sandi lokal CLIENT1 sendiri tidak memberikan izin membuat atau menggunakan kembali objek AD.
4. Periksa pesan keberhasilan penggabungan. Jika muncul kesalahan, hentikan langkah berikutnya dan catat pesannya. Setelah berhasil, simpan pekerjaan dan mulai ulang sesuai petunjuk.
5. Setelah mulai ulang, pilih Other user dan masuk menggunakan AD\namapengguna atau namapengguna@ad.example.test. Ganti namapengguna dengan akun domain yang benar-benar ada dan tetap simpan kredensial administrator lokal.

Lihat prosedur resmi untuk bergabung ke domain. Jika pengguna standar lab belum dibuat, periksa penggabungan dan administrasi terlebih dahulu dengan akun berwenang yang sudah ada, lalu uji pengguna standar setelah tersedia. Jangan menggunakan akun anggota Domain Admins sebagai identitas kerja sehari-hari.

Akun lokal CLIENT1\pengguna dan akun AD\pengguna adalah identitas berbeda meskipun nama penggunanya sama. Masuk pertama kali dengan akun domain tidak otomatis memakai profil lokal lama; desktop serta preferensinya dapat berbeda. Cadangkan data dan rencanakan migrasi dengan izin yang sesuai. Jangan menghapus folder profil lama untuk mencoba memperbaiki perbedaan profil.

Gunakan PowerShell sebagai alternatif

Sebagai alternatif antarmuka grafis, buka Windows PowerShell sebagai administrator pada CLIENT1 hanya jika komputer belum bergabung. Jalankan blok per baris: Get-Credential meminta akun domain yang berwenang dan kata sandinya secara interaktif; Add-Computer melakukan penggabungan, sedangkan -PassThru -Verbose menyediakan hasil untuk diperiksa. Jalankan Restart-Computer hanya setelah penggabungan dinyatakan berhasil dan pekerjaan disimpan. Kegagalan Add-Computer tidak otomatis membatalkan baris mulai ulang berikutnya. Lihat referensi Add-Computer:

$joinCredential = Get-Credential
Add-Computer -DomainName 'ad.example.test' -Credential $joinCredential -PassThru -Verbose
Restart-Computer

Mulai ulang tidak mengubah penggabungan yang gagal menjadi berhasil. Catat pesan kesalahan dan perbaiki penyebabnya sebelum mengulang operasi. Prinsip yang sama dapat digunakan untuk memasukkan FS1 sebagai server anggota: pertahankan IP statis 172.24.50.20 dan gunakan DNS domain yang berfungsi di 172.24.50.10. Bergabung sebagai anggota tidak memasang AD DS atau mempromosikan FS1 menjadi pengontrol domain.

Periksa keanggotaan dan identitas sesi secara terpisah

Get-CimInstance Win32_ComputerSystem | Select-Object Name,Domain,PartOfDomain
whoami
$env:LOGONSERVER
Test-ComputerSecureChannel -Verbose

Setelah mulai ulang, jalankan pemeriksaan ini pada CLIENT1 dengan Windows PowerShell yang dibuka sebagai administrator untuk diagnosis. PartOfDomain harus True, Domain harus ad.example.test, dan Name harus sesuai CLIENT1. Whoami menunjukkan sesi saat ini: AD\pengguna adalah identitas domain, sedangkan CLIENT1\pengguna tetap lokal walaupun komputer sudah bergabung. LOGONSERVER memberikan konteks sesi, bukan bukti tunggal bahwa DNS, autentikasi, dan saluran aman semuanya sehat.

Test-ComputerSecureChannel -Verbose seharusnya menghasilkan True jika saluran aman antara komputer anggota ini dan domainnya berfungsi. Tanpa -Repair, perintah hanya menguji dan tidak memperbaiki. Jika hasilnya False atau kesalahan, periksa DNS, konektivitas, dan akun komputer sebelum mencoba perbaikan atau keluar dari domain. Referensi Test-ComputerSecureChannel membatasi pengujian ini pada klien serta server anggota. Menjalankannya pada DC1 sebagai pengontrol domain dapat menghasilkan kesalahan menyesatkan dan tidak menggantikan diagnosis DC.

Pada DC1, buka Server Manager → Tools → Active Directory Users and Computers, lalu cari objek komputer CLIENT1. Jika tidak disiapkan sebelumnya atau diarahkan ke lokasi lain, objek biasanya dibuat dalam kontainer Computers; kontainer ini bukan OU. Untuk akun yang sudah disiapkan, periksa lokasi sebenarnya. Pada latihan kebijakan berikutnya, objek dapat dipindahkan ke OU Workstations milik lab. Lokasi objek pengguna dan komputer terpisah; memindahkan salah satunya tidak memindahkan yang lain.

Tangani penggunaan kembali akun dan keluar dari domain

Perlindungan penggabungan dapat memblokir penggunaan kembali akun komputer yang sudah ada. Periksa pemilik, hak yang didelegasikan, nama komputer, dan apakah perangkat lama masih aktif sebelum mengubah objek. KB5020276 tentang penguatan keamanan penggabungan domain menjelaskan pemeriksaan kepemilikan serta prosedur yang didukung. Kesalahan 0xaac dapat menunjukkan pemblokiran penggunaan kembali, bukan sekadar kata sandi salah. Pada CLIENT1, periksa C:\Windows\debug\NetSetup.log pada waktu tepat percobaan dan baca panduan kesalahan jaringan saat bergabung ke domain bila diperlukan. Jangan menonaktifkan pemeriksaan, memperluas daftar tepercaya ke semua akun, atau menghapus akun komputer yang masih dipakai demi memaksakan keberhasilan.

Pertahankan CLIENT1 sebagai anggota domain untuk latihan selanjutnya. Jika perlu berlatih keluar dari domain, pastikan dahulu akun administrator lokal dan kredensialnya benar-benar dapat digunakan. Buka sysdm.cpl → Computer Name → Change, pilih Workgroup dan masukkan nama grup kerja yang direncanakan. Berikan otorisasi ketika diminta, konfirmasikan hasil, lalu mulai ulang. Masuk dengan akun lokal sebenarnya, misalnya CLIENT1\namalokal. Data profil dan pembersihan objek komputer di AD memerlukan keputusan tersendiri. Catat hasil serta waktu untuk penggabungan, masuk pengguna standar, DNS, dan saluran aman secara terpisah.