Windows Server 2025 / Cara Membuat GPO dan Menautkannya ke OU

Untuk menerapkan kebijakan pada CLIENT1, buat Group Policy Object (GPO), yaitu objek yang berisi pengaturan kebijakan grup, lalu tautkan ke unit organisasi (OU) tempat objek komputernya berada. Setelah itu, periksa hasil pada klien. Pengaturan komputer mengikuti lokasi objek komputer dan syarat penerapan lainnya, bukan OU pengguna yang sedang masuk; membuat GPO tanpa tautan yang sesuai belum menetapkan cakupan tersebut.

Batasi percobaan pada CLIENT1

CLIENT1 harus sudah bergabung dengan ad.example.test dan berada di Lab → Workstations seperti dalam latihan pengguna, grup, dan OU. Akun biasa labuser1 tetap dapat berada di LabUsers karena pengujian ini mengatur komputer, bukan akun pengguna. Pastikan Workstations hanya berisi perangkat lab yang memang menjadi sasaran. Jangan memakai Default Domain Policy atau OU Domain Controllers untuk percobaan ini.

Pada DC1 atau PC dengan Remote Server Administration Tools (RSAT), yaitu alat administrasi server jarak jauh, buka Group Policy Management Console (GPMC) melalui gpmc.msc. Diperlukan izin yang sesuai untuk membuat, mengedit, dan menautkan GPO; ketiganya merupakan tindakan berbeda. Hak administrator lokal pada CLIENT1 tidak otomatis memberikan izin itu. Pisahkan pekerjaan administrasi berhak tinggi dari penggunaan sehari-hari. Penjelasan resmi Group Policy membahas mekanismenya. Dengan modul ActiveDirectory dan akun yang berwenang, periksa dahulu lokasi objek komputer:

Get-ADComputer -Identity 'CLIENT1' | Select-Object Name,DistinguishedName

DistinguishedName seharusnya menunjukkan CLIENT1 pada OU=Workstations,OU=Lab,DC=ad,DC=example,DC=test. Jika masih berada pada CN=Computers atau OU lain, pastikan objeknya benar dan pindahkan secara sengaja ke lokasi lab sebelum melanjutkan. Catat lokasi lama dan pertimbangkan dampak kebijakan lain. Jangan memindahkan pengendali domain agar cocok dengan percobaan ini.

Buat GPO dan tautkan ke Workstations

1. Di GPMC, perluas Forest → Domains → ad.example.test → Lab → Workstations. Pastikan Workstations yang dipilih, bukan seluruh domain.
2. Klik kanan Workstations lalu pilih Create a GPO in this domain, and Link it here, yaitu membuat GPO pada domain ini dan menautkannya di lokasi tersebut.
3. Pada dialog New GPO, masukkan nama persis Lab-Computer-Message dan konfirmasikan. Jika sudah ada, periksa pengaturan dan tautannya sebelum memutuskan memakai ulang; jangan membuat salinan yang sulit dibedakan.
4. Pilih GPO lalu periksa Scope: tautannya harus menuju Workstations dan aktif. Biarkan Enforced tidak aktif dan jangan menambahkan filter Windows Management Instrumentation (WMI). Periksa juga bahwa bagian konfigurasi komputer GPO tidak dinonaktifkan.
5. Catat dan pertahankan penyaringan keamanan awal. Authenticated Users biasanya mencakup pengguna dan komputer; akun CLIENT1 memerlukan Read dan Apply Group Policy. Tautan OU membatasi cakupan percobaan ini. Jangan mengganti filter menjadi labuser1 atau mengubah izin secara acak agar kebijakan komputer diterapkan.

GPO pada simpul Group Policy Objects adalah objek kebijakan dalam domain, sedangkan entri di bawah Workstations merupakan tautan ke objek tersebut. Satu GPO dapat memiliki beberapa tautan; perubahan pengaturannya dapat memengaruhi semua tujuan tempat GPO itu diterapkan, bukan hanya entri yang dipilih. Sebelum mengedit GPO yang sudah ada, periksa seluruh tautan dan penggunaannya. Referensi New-GPLink juga menjelaskan perbedaan tautan aktif dan tautan yang dipaksakan.

Atur pesan masuk untuk komputer

Gunakan hanya pesan lab yang tidak berbahaya. Sebelum mengubahnya, catat apakah judul dan teks yang berlaku sudah ada serta GPO yang mengaturnya. Jika perangkat dikelola dengan pemberitahuan organisasi yang nyata, gunakan klien uji terisolasi untuk latihan ini. Jangan mengganti pemberitahuan yang sah dengan teks hukum buatan atau mengubah opsi keamanan lainnya.

1. Klik kanan Lab-Computer-Message dan pilih Edit. Buka Computer Configuration → Policies → Windows Settings → Security Settings → Local Policies → Security Options. Gunakan bagian komputer, bukan User Configuration.
2. Buka Interactive logon: Message title for users attempting to log on. Aktifkan pendefinisian pengaturan kebijakan ini, masukkan nilai persis Lab computer, lalu konfirmasikan dialog.
3. Buka opsi terkait Interactive logon: Message text for users attempting to log on. Definisikan nilai persis Windows Server course lab dan konfirmasikan. Dua teks ini merupakan nilai percobaan, bukan nama pengaturan.
4. Tutup editor dan periksa kedua nilai pada tab Settings di GPMC. Pastikan GPO dan tautan yang dipilih benar; jika ada beberapa pengendali, pertimbangkan replikasi konfigurasi dan SYSVOL sebelum menilai hasil lama pada klien sebagai kegagalan.

Judul dan teks merupakan dua pengaturan yang saling terkait. Pemetaan kebijakan resmi membantu mengenali keduanya; latihan ini memakai pengaturan GPO, bukan menambahkan pengelolaan perangkat seluler (MDM). Dokumentasi judul pesan masuk dan teks pesan masuk menyatakan kedua opsi ini tidak memerlukan restart perangkat. Untuk melihatnya, lakukan proses masuk baru, bukan hanya memeriksa desktop sesi yang sedang terbuka.

Buktikan hasil pada CLIENT1

Pada CLIENT1, buka Windows PowerShell sebagai administrator lokal dan jalankan baris berikut. gpupdate /target:computer /force menerapkan ulang kebijakan komputer, bukan hanya GPO latihan ini. Tunggu hasilnya dan tangani kesalahan yang muncul sebelum menganggap pembaruan berhasil. gpresult membuat laporan HTML untuk cakupan komputer pada folder sementara pengguna yang menjalankan konsol; cap waktu membedakannya dari laporan lama.

gpupdate /target:computer /force
$gpReport = Join-Path $env:TEMP ('gpresult-' + (Get-Date -Format 'yyyyMMdd-HHmmss') + '.html')
gpresult /scope computer /h $gpReport
$gpReport

Baris terakhir mencetak lokasi file, bukan langsung membuka browser. Buka lokasi itu pada browser CLIENT1 lalu periksa nama komputer dan waktu laporannya. Cari Lab-Computer-Message dalam daftar GPO yang diterapkan, kemudian tinjau sumber serta nilai efektif kedua opsi masuk. Simpan pekerjaan dan keluar dari sesi sepenuhnya; pada proses masuk berikutnya seharusnya muncul judul Lab computer dan teks Windows Server course lab. Nama GPO dalam laporan dan nilai pesan yang benar-benar terlihat merupakan dua pemeriksaan terpisah.

Pembaruan yang berhasil tidak berarti semua pengaturan berubah langsung pada sesi aktif; kebijakan lain mungkin membutuhkan masuk ulang atau restart. Pesan ini tidak membutuhkan restart: simpan pekerjaan, keluar dari sesi, lalu periksa konsol lab. Jika laporan menyebut akses ditolak, data tidak tersedia, atau GPO ditolak oleh filter, selesaikan penyebab tersebut terlebih dahulu. Dokumentasi gpresult mencatat batasan /h pada Windows ARM64; contoh ini tetap memakai klien lab x64.

Pulihkan pengaturan secara terkontrol

Untuk menghapus hanya pesan percobaan, buka kembali GPO yang sama dan kedua opsi masuk. Jika kondisi awal yang dicatat memang tanpa pesan serta tidak ada kebijakan lain yang mengaturnya, biarkan masing-masing opsi tetap didefinisikan tetapi kosongkan nilai teksnya. Konfirmasikan perubahan, perbarui kebijakan komputer pada CLIENT1, dan buat laporan baru. Periksa nilai efektif serta tidak munculnya pesan pada proses masuk berikutnya. Jika sebelumnya ada nilai yang sah, pulihkan nilai dan mekanisme pengelolaannya, bukan menghapusnya. Not Defined atau melepas tautan tidak menjamin semua pengaturan kembali ke keadaan semula; Microsoft menjelaskan persistensi beberapa pengaturan keamanan.

Menghapus tautan yang dipilih di bawah Workstations berbeda dari menghapus GPO pada Group Policy Objects. Sebelum keduanya, periksa penggunaan lain dan pastikan pengaturan telah dipulihkan pada klien. Pertahankan Lab-Computer-Message untuk latihan berikutnya; latihan ini tidak mengharuskan penghapusan objek tersebut. Jika hasil tidak muncul, periksa OU CLIENT1 yang sebenarnya, bagian Computer dibandingkan User, tautan aktif, pewarisan, filter, izin, dan akses ke pengendali domain. Jangan memperluas percobaan ke seluruh domain atau mengaktifkan Enforced untuk menutupi masalah cakupan.