Windows Server 2025 / Bagaimana Urutan dan Pewarisan Group Policy Memengaruhi Hasil

Group Policy, atau kebijakan grup, biasanya diproses berurutan dari lokal → situs → domain → unit organisasi (OU), dari OU induk menuju OU terdekat dengan objek. Jika dua Group Policy Object (GPO) memberi nilai berbeda untuk pengaturan yang sama, hasilnya juga dipengaruhi urutan tautan, pemaksaan, pewarisan, filter, dan perilaku pengaturan tersebut. Gunakan laporan hasil untuk mengetahui sumber efektif, bukan menganggap OU paling bawah selalu menang.

Pahami prioritas dan pengecualiannya

Kebijakan bersifat kumulatif: GPO yang diproses belakangan tidak menghapus seluruh pengaturan lain yang tidak bertentangan dari GPO sebelumnya. Prioritas penting ketika nilai untuk pengaturan yang sama berbeda. Dokumentasi resmi pemrosesan Group Policy menjelaskan urutan umum dan pengecualiannya.

Urutan tautan membandingkan GPO yang ditautkan pada situs, domain, atau OU yang sama. Nomor 1 pada Lab dan nomor 1 pada Workstations bukan satu daftar prioritas. Referensi Set-GPLink dan parameter Order menjelaskan bahwa nomor lebih kecil diproses belakangan sehingga memiliki prioritas lebih tinggi dalam kontainer yang sama. Latihan ini mengubah status aktif sebuah tautan, bukan urutannya atau Enforced.

Filter keamanan dan Windows Management Instrumentation (WMI) dapat mengecualikan GPO yang semula tampak sesuai berdasarkan tautannya. Bagian konfigurasi komputer atau pengguna dan lokasi objek masing-masing juga harus sesuai. GPO yang terfilter tidak otomatis diterapkan hanya karena nomor urutannya kecil. Jangan sekaligus mengubah filter, pewarisan, dan pemaksaan untuk menjelaskan satu hasil.

Siapkan dan catat kondisi awal

CLIENT1 harus menjadi anggota ad.example.test, berada pada Lab → Workstations, serta dapat mengakses pengendali domain dengan DNS internal yang berfungsi. Buka Group Policy Management Console (GPMC), yaitu konsol pengelolaan kebijakan grup, melalui gpmc.msc menggunakan akun dengan izin membuat, mengedit, dan menautkan GPO pada OU lab. Periksa dahulu Lab-Computer-Message dan tautannya yang aktif pada Workstations. Jika latihan membuat dan menautkan GPO sebelumnya diakhiri dengan mengosongkan pesan, definisikan lagi judul Lab computer dan teks Windows Server course lab. Perbarui CLIENT1 dan verifikasi kondisi awal itu sebelum menambah GPO induk.

Catat urutan dan status tautan, Enforced, pemblokiran pewarisan, filter, kedua nilai pesan, serta sumber efektif pada kedua OU. Faktor tersebut tidak diubah selama perbandingan. Tautan baru pada Lab dapat menjangkau seluruh komputer pada OU turunannya, termasuk FS1 di Lab → Servers jika tidak dikecualikan oleh kondisi lain. Memeriksa CLIENT1 saja tidak membatasi kebijakan hanya pada komputer itu. Gunakan pohon lab terisolasi dan jangan melanjutkan jika terdapat perangkat yang tidak boleh berubah. Isi pesan dibuat sama pada kedua GPO; hanya judulnya yang berbeda.

Bandingkan pengaturan pada dua tingkat OU

1. Di GPMC, perluas Forest → Domains → ad.example.test. Klik kanan OU induk Lab lalu buat GPO pada domain dan tautkan di lokasi tersebut dengan nama persis Lab-Parent-Message. Jangan menautkannya pada domain atau Workstations; jika objek sudah ada, periksa dahulu penggunaannya.
2. Edit Lab-Parent-Message pada Computer Configuration → Policies → Windows Settings → Security Settings → Local Policies → Security Options. Definisikan Interactive logon: Message title for users attempting to log on dengan nilai persis Parent lab.
3. Definisikan opsi teks pesan terkait dengan Windows Server course lab, sama seperti pada GPO bawah. Periksa kedua nilai pada tab Settings di GPMC.
4. Pertahankan judul Lab computer dan teks yang sama dalam Lab-Computer-Message. Kedua tautan harus aktif, tanpa Enforced atau filter baru, dengan konfigurasi komputer aktif. Jangan mengubah pemblokiran pewarisan atau izin untuk memaksakan hasil; selesaikan dahulu perbedaan kondisi lab.
5. Pada CLIENT1, buka Windows PowerShell sebagai administrator lokal dan jalankan blok berikut. Tunggu hasil pembaruan, tangani kesalahan, lalu periksa laporan baru dan proses masuk berikutnya.

gpupdate /target:computer /force
$gpReport = Join-Path $env:TEMP ('gp-order-' + (Get-Date -Format 'yyyyMMdd-HHmmss') + '.html')
gpresult /scope computer /h $gpReport
$gpReport

Baris terakhir menampilkan lokasi laporan HTML pada folder sementara pengguna yang menjalankan konsol. Buka lokasi itu pada browser CLIENT1, lalu periksa waktu, komputer, GPO yang diterapkan, dan sumber efektif judul. Simpan pekerjaan dan keluar sepenuhnya agar dapat melihat pesan saat masuk kembali. Ulangi blok pada setiap tahap untuk menghasilkan laporan dengan cap waktu baru; jangan memakai tab laporan lama sebagai hasil terbaru. Pembaruan paksa memengaruhi kebijakan komputer secara umum dan tidak menggantikan pemeriksaan hasil.

Dengan kedua tautan aktif, tanpa Enforced, tanpa pemblokiran yang mengecualikan GPO induk, serta filter yang sesuai, CLIENT1 seharusnya memakai judul Lab computer dari Lab-Computer-Message yang ditautkan pada Workstations. Untuk pengaturan ini, OU yang lebih dekat biasanya memiliki prioritas. Jika tampil Parent lab atau nilai lain, periksa sumber efektif dan kondisi sebenarnya sebelum mengubah apa pun: mungkin ada GPO lain yang dipaksakan, tautan tidak aktif, filter, atau lokasi objek yang berbeda. Kedua GPO dapat tercatat diterapkan meskipun hanya satu yang menyediakan judul efektif.

Nonaktifkan hanya tautan bawah lalu aktifkan kembali

1. Di GPMC, klik kanan hanya tautan Lab-Computer-Message di bawah Workstations lalu hilangkan centang Link Enabled. Jangan menghapus tautannya, menonaktifkan seluruh konfigurasi komputer GPO, atau mengubah tautan lain milik objek itu.
2. Perbarui CLIENT1 dan buat laporan baru. Setelah menyimpan pekerjaan, keluar dari sesi dan periksa proses masuk berikutnya dengan kondisi lain tetap sama.
3. Periksa apakah laporan kini menunjukkan Lab-Parent-Message sebagai sumber judul dan pesan menampilkan Parent lab. Teksnya harus tetap Windows Server course lab. Jika berbeda, periksa sumber sebenarnya serta hasil pembaruan, bukan langsung menyimpulkan pewarisan sebagai penyebab.
4. Centang kembali Link Enabled untuk Lab-Computer-Message pada Workstations. Perbarui CLIENT1, buat laporan baru, lalu pastikan sumbernya kembali ke Lab-Computer-Message dan judulnya Lab computer. Isi pesan tidak berubah.

Percobaan ini memakai dua GPO yang secara eksplisit menyediakan nilai berbeda bagi pengaturan yang sama. Ketika tautan bawah dinonaktifkan, GPO induk masih menyediakan nilai. Karena itu, perubahan menjadi Parent lab tidak membuktikan bahwa melepas tautan selalu memulihkan seluruh pengaturan ke nilai sebelumnya. Pertahankan filter dan isi pesan. Jika hasil tidak sesuai, aktifkan kembali tautan bawah dan periksa keadaan awal sebelum menyelidiki variabel lain.

Hapus hanya konfigurasi percobaan

Pastikan dahulu tautan Lab-Computer-Message pada Workstations sudah aktif kembali dan CLIENT1 menerima Lab computer dari GPO tersebut. Tinjau semua penggunaan Lab-Parent-Message. Hapus hanya tautan percobaan pada Lab dan hapus objek GPO itu sendiri hanya jika khusus untuk latihan ini serta tidak dipakai di tempat lain. Jangan menghapus GPO bawah atau tautan lain untuk membersihkan percobaan. Perbarui CLIENT1, buat laporan baru, lalu pastikan judul dan teks semula tetap berlaku. Simpan catatan komponen yang dihapus dan opsi yang dibiarkan tetap.

Untuk membandingkan pengaturan pengguna, lihat OU objek pengguna. GPO yang hanya berisi pengaturan pengguna biasanya tidak mengikuti komputer hanya karena ditautkan pada OU komputer tersebut. Pemrosesan loopback dapat mengubah daftar GPO pengguna melalui mode Merge atau Replace, tetapi memerlukan rancangan tersendiri dan tidak diaktifkan pada latihan ini. Dokumentasi cakupan Group Policy membedakan tautan, penyaringan, dan penerapan yang sebenarnya.