Windows Server 2025 / Cara Memeriksa Replikasi AD dan Pemilik Peran FSMO

Untuk memeriksa Layanan Domain Active Directory (AD DS), tinjau replikasi dengan Repadmin lalu periksa pemilik kelima peran FSMO (Flexible Single Master Operations, operasi master tunggal fleksibel) secara terpisah. Replikasi menyebarkan perubahan direktori, sedangkan peran FSMO menempatkan operasi tertentu pada satu pengendali domain. Menambahkan DC2 atau mematikan DC1 tidak otomatis memindahkan peran tersebut.

Tentukan cakupan masalah replikasi

Lab ini mengasumsikan DC1 dan DC2 sudah menjadi pengendali domain ad.example.test dengan DNS internal yang berfungsi. Keduanya mereplikasi partisi domain, konfigurasi, skema, serta partisi aplikasi DNS sesuai cakupan replikasinya. Peserta dan waktu replikasi dapat berbeda antarpartisi. Data file pada FS1 dan sewa DHCP tidak ikut direplikasi hanya karena sebuah server menjadi pengendali domain.

Jika nilai objek berbeda, catat pengendali yang dituju setiap kueri, atribut, nilai, dan waktu perubahannya. Anda dapat mengulangi pemeriksaan deskripsi yang dapat dipulihkan dari latihan menambahkan DC2, dengan memilih pengendali secara eksplisit dan mengembalikan nilai aslinya. Bandingkan hasilnya dengan panduan diagnosis replikasi Microsoft. Satu kueri sesaat setelah perubahan belum cukup untuk membedakan penyebaran yang belum selesai dari kegagalan berkelanjutan.

Periksa replikasi tanpa mengubah konfigurasi

Buka Windows PowerShell sebagai administrator pada DC1 atau DC2 menggunakan akun yang berwenang membaca informasi direktori. Jika memakai PC administrasi, siapkan Remote Server Administration Tools (RSAT), yaitu alat administrasi server jarak jauh untuk AD DS, termasuk Repadmin dan modul ActiveDirectory, beserta akses domain dan konfigurasi DNS yang benar. Jalankan kueri baca berikut terlebih dahulu; jangan langsung memaksa sinkronisasi atau mengubah koneksi replikasi.

repadmin /replsummary
repadmin /showrepl DC1
repadmin /showrepl DC2
Get-ADReplicationFailure -Target 'ad.example.test' -Scope Domain

Pada repadmin /replsummary, periksa jumlah kegagalan dibandingkan jumlah upaya dan selang terlama sejak replikasi berhasil. Angka nol tanpa konteks waktu serta upaya terbaru bukan bukti kesehatan menyeluruh. /showrepl DC1 dan /showrepl DC2 menampilkan replikasi masuk ke masing-masing tujuan: periksa partisi, mitra sumber, upaya terakhir, keberhasilan terakhir, dan kode kesalahan untuk menilai kedua arah. Get-ADReplicationFailure mengumpulkan kegagalan terkait pengendali dalam domain yang ditentukan. Kueri yang berhasil tanpa objek kegagalan belum membuktikan seluruh data telah sama.

Jika DC2 sengaja dimatikan untuk pemeliharaan, catat kondisi itu lalu periksa kembali replikasi setelah server aktif. Server yang berhasil menyala belum tentu telah menyelesaikan sinkronisasi. Untuk kesalahan berkelanjutan, cocokkan kode dan waktu dengan DNS mitra, jaringan dan Remote Procedure Call (RPC), waktu sistem, autentikasi, layanan, serta peristiwa Directory Service. Jangan menonaktifkan firewall secara menyeluruh. Pengendali yang lama terisolasi memerlukan rencana pemulihan yang mempertimbangkan usia dan konsistensi data direktorinya sebelum dihubungkan kembali.

Kenali lima peran FSMO

Dua peran berlaku untuk satu forest, yaitu kumpulan domain yang berbagi skema dan konfigurasi, sedangkan tiga peran berlaku untuk masing-masing domain. Satu pengendali dapat memegang beberapa peran tanpa menjadi satu-satunya server yang melayani masuk pengguna. Penjelasan resmi peran FSMO membedakan tugasnya sebagai berikut:

Pemilik peran yang tidak tersedia tidak selalu menghentikan semua fungsi seketika. Misalnya, pengendali masih dapat membuat akun memakai persediaan RID yang ada, tetapi membutuhkan RID Master saat meminta blok baru. Perubahan skema memerlukan Schema Master. Karena itu, beberapa pengguna yang masih dapat masuk bukan bukti bahwa seluruh peran tersedia atau alasan untuk mengabaikan gangguan.

Bandingkan pemilik peran yang sebenarnya

Kueri kepemilikan memerlukan alat yang sama dan konteks domain yang tepat. Netdom query memakai domain komputer jika domain tidak ditentukan. Get-ADForest dan Get-ADDomain mendukung pemilihan server yang dituju. Perintah ini membaca pemilik dan tidak memindahkan peran.

netdom query fsmo
Get-ADForest | Select-Object SchemaMaster,DomainNamingMaster
Get-ADDomain | Select-Object PDCEmulator,RIDMaster,InfrastructureMaster

Jalankan ketiga kueri dalam konteks domain lab yang benar. netdom query fsmo mencantumkan lima pemilik, Get-ADForest memilih dua peran forest, dan Get-ADDomain memilih tiga peran domain. Dalam forest baru yang semula dibuat pada DC1, peran biasanya tetap di DC1 selama belum dialihkan. Catat nama yang benar-benar muncul, bukan menganggap promosi DC2 membaginya otomatis. Untuk membandingkan tampilan DC1 dan DC2, tambahkan -Server DC1 lalu -Server DC2 pada Get-ADForest dan Get-ADDomain sebelum tanda pipeline. Untuk Netdom, gunakan /domain:ad.example.test serta /server:DC1, lalu ulangi dengan /server:DC2 sebelum fsmo. Catat waktu dan kesalahan kueri. Perbedaan hasil perlu diperiksa bersama kondisi replikasi dan konteks kueri; daftar pemilik tidak membuktikan server tersebut dapat dijangkau atau siap bekerja.

Bedakan transfer dan pengambilalihan paksa

Transfer normal digunakan untuk pemeliharaan terencana ketika pemilik lama berfungsi dan dapat berkomunikasi dengan tujuan. Pengambilalihan paksa (seizure) adalah keputusan pemulihan ketika transfer tidak memungkinkan dan pemilik lama tidak boleh kembali tanpa prosedur pemulihan yang sesuai. Sebelum perubahan nyata, pelajari proses transfer dan pengambilalihan FSMO serta persyaratan pengelolaan setiap peran.

• Sebelum transfer, pastikan peran, cakupan, pemilik lama, dan tujuan yang benar, kesehatan kedua pengendali, replikasi, serta cadangan. Izin membaca tidak sama dengan izin transfer: peran domain memerlukan Domain Admins; penamaan domain memerlukan Enterprise Admins; untuk skema, periksa ketentuan Schema Admins dan Enterprise Admins dalam panduan resmi.
• Sesudah transfer, periksa kembali pemilik dari pengendali yang terlibat, keberhasilan replikasi partisi terkait, serta fungsi yang bergantung padanya. Perubahan nama pemilik saja bukan bukti kesiapan operasional.
• Jika memindahkan Emulator PDC domain akar forest, tinjau server yang menggunakan sumber waktu eksternal resmi dan kelanjutan hierarki waktunya. Jangan mengatur setiap pengendali sebagai referensi waktu terpisah tanpa perencanaan.
• Pengambilalihan paksa memerlukan rencana penanganan pemilik lama dan pembersihan metadata. RID Master memiliki tindakan pencegahan tambahan untuk menghindari pengenal ganda. Jangan menghubungkan kembali mesin lama atau memulihkan cadangannya tanpa mengikuti prosedur pemulihan yang berlaku.

Hasil latihan ini adalah catatan status replikasi per pengendali dan partisi serta lima pemilik peran yang sebenarnya beserta cakupannya. Jika terdapat kegagalan, simpan kode, waktu, dan konteksnya untuk diagnosis sebelum mengubah peran. Kueri di atas tidak mengubah konfigurasi sehingga tidak memerlukan pemulihan perubahan; Anda tidak perlu mematikan pengendali, memaksa replikasi, atau mengambil alih peran untuk menyelesaikan pemeriksaan ini.