Windows Server 2025 / Praktik akhir domain, izin, GPO, dan pemulihan

Praktik akhir Windows Server 2025 ini menghubungkan DNS internal, identitas domain, izin berbagi berkas, Kebijakan Grup, dan pencadangan. Kelulusan memerlukan pengujian pengguna biasa, hasil kebijakan sebenarnya, serta data pulihan yang terverifikasi, bukan hanya pesan berhasil pada konsol administrasi.

Memastikan kondisi awal dan kriteria lulus

Gunakan laboratorium terisolasi yang sudah ada: DC1 pada 172.24.50.10 menyediakan Active Directory Domain Services (AD DS), layanan domain, dan DNS untuk ad.example.test. FS1 pada 172.24.50.20 merupakan server berkas anggota domain, sedangkan CLIENT1 sudah bergabung ke domain. Jika DC2 pada 172.24.50.11 tersedia, periksa replikasi juga. Jangan membuat ulang domain atau peran yang telah terpasang.

Prasyaratnya adalah labuser1 dan unit organisasi (OU) LabUsers, LabGroups, Workstations, serta Servers di bawah Lab; CLIENT1 berada di Workstations. FS1 memerlukan volume data NTFS D: dan target cadangan terpisah E: yang memang disiapkan, dengan ruang cukup. Jika huruf drive memiliki fungsi lain, sesuaikan persiapan dan jalur sebelum menjalankan perintah; jangan memformat drive agar cocok dengan contoh. Dua disk virtual pada satu host merupakan sarana latihan, bukan cadangan produksi yang independen dari kegagalan host.

Gunakan folder, berbagi Capstone, dan grup baru. Berhenti jika nama sudah ada, bukan menggantikan objek sebelumnya. Catat pengenal objek yang dibuat dan kondisi awal, termasuk judul serta teks pesan masuk CLIENT1 dan GPO penentunya. Pengujian hanya sebagai administrator dapat menyembunyikan masalah izin pengguna biasa.

Mencatat baseline jaringan dan domain

Jalankan kueri berikut pada CLIENT1 dan periksa setiap hasil. FS1 harus diresolusikan ke 172.24.50.20, catatan layanan (SRV) dan penemuan pengontrol harus sesuai domain, serta whoami harus menunjukkan pengguna pengujian. Tetap gunakan DNS internal. Menambahkan DNS publik bukan solusi penemuan domain yang gagal.

ipconfig /all
Resolve-DnsName fs1.ad.example.test
Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.ad.example.test
nltest /dsgetdc:ad.example.test
whoami

Catat status peran, waktu server, serta ruang kosong D: dan E: pada FS1. Jika DC2 ada, tinjau repadmin /replsummary dan pendaftaran DNS. Atasi kegagalan jaringan, domain, atau replikasi sebelum menambah perubahan izin dan kebijakan agar penyebab galat berikutnya dapat dibedakan.

Membangun jalur izin melalui grup

Pada DC1 gunakan Windows PowerShell yang ditinggikan dengan akun berhak membuat grup dan mengubah anggotanya. Pastikan OU=LabGroups,OU=Lab,DC=ad,DC=example,DC=test tersedia dan labuser1 merupakan akun yang dimaksud; jangan menulis kata sandi dalam kode. AGDLP berarti Accounts → Global groups → Domain Local groups → Permissions: akun, grup global, grup lokal domain, dan izin. Jalankan per bagian dan berhenti pada setiap galat kueri atau pembuatan. Get-ADGroup yang gagal bukan bukti nama bebas. Jika ada objek yang sudah dibuat sebelum galat, periksa objek dan pengenalnya sebelum mengulang.

Import-Module ActiveDirectory
$groupOu = 'OU=LabGroups,OU=Lab,DC=ad,DC=example,DC=test'
Get-ADUser -Identity 'labuser1' -ErrorAction Stop | Out-Null
foreach ($name in 'GG_Capstone','DL_FS_Capstone_Modify') {
    if (Get-ADGroup -Filter { Name -eq $name }) { throw ('Group already exists: ' + $name) }
}
New-ADGroup -Name 'GG_Capstone' -GroupScope Global -GroupCategory Security -Path $groupOu
New-ADGroup -Name 'DL_FS_Capstone_Modify' -GroupScope DomainLocal -GroupCategory Security -Path $groupOu
Add-ADGroupMember -Identity 'GG_Capstone' -Members 'labuser1'
Add-ADGroupMember -Identity 'DL_FS_Capstone_Modify' -Members 'GG_Capstone'
Get-ADGroupMember -Identity 'DL_FS_Capstone_Modify' -Recursive

Hasil rekursif harus memuat labuser1 melalui grup global. Keluar sepenuhnya dari sesi CLIENT1 lalu masuk kembali sebagai pengguna tersebut untuk memperbarui token akses; periksa whoami /groups dalam sesi normalnya. Kueri administrator tidak membuktikan token pengguna berubah. Dokumentasi grup keamanan AD membedakan cakupan global dan lokal domain.

Menguji akses berbagi yang diizinkan dan ditolak

Di FS1 dengan peran server berkas yang sudah tersedia, buka Server Manager → File and Storage Services → Shares → Tasks → New Share. Pilih SMB Share – Quick dan buat folder baru D:\Capstone dengan nama berbagi Capstone. Server Message Block (SMB) adalah protokol akses berbagi. Jika folder atau berbagi sudah ada, berhenti dan periksa pemilik serta tujuannya, bukan menggunakannya tanpa peninjauan.

1. Pertahankan Full control NTFS untuk SYSTEM dan administrator. Beri Modify kepada AD\DL_FS_Capstone_Modify untuk folder serta berkas ini. Tinjau pewarisan luas dan Effective Access pengguna tanpa mengubah ACL seluruh D:. Evaluasi jalur lokal saja tidak membuktikan izin SMB.
2. Pada izin berbagi, berikan Change kepada grup lokal domain yang sama dan pertahankan administrasi yang diperlukan. Tinjau entri sebenarnya sebelum menghapus akses Everyone luas yang tidak dimaksudkan pada berbagi baru ini.
3. Masuk di CLIENT1 sebagai labuser1, buka \\fs1.ad.example.test\Capstone, lalu simpan sample.txt berisi capstone version A. Pastikan berkas dapat dibuka ulang dan ditulis; hindari nama sample.txt.txt.
4. Keluar sepenuhnya lalu masuk sebagai akun biasa di luar grup Capstone. Periksa identitas dan pastikan UNC yang sama menolak akses, tanpa memakai koneksi yang sebelumnya diautentikasi sebagai administrator.

Operasi tulis lewat jaringan harus diizinkan oleh izin berbagi sekaligus NTFS. Jika akun yang seharusnya ditolak dapat masuk, periksa whoami, grup bertingkat, pewarisan, dan entri izin lain. Menyembunyikan folder tidak mencegah akses langsung. Jika perlu akun tambahan, buat akun biasa baru khusus pengujian di LabUsers tanpa keanggotaan grup Capstone dan catat namanya. Jangan gunakan administrator untuk uji negatif atau mengaktifkan tamu untuk mengatasi autentikasi.

Setelah menyimpan A, tutup editor. Di FS1 catat isi berkas, hash SHA256, dan daftar kontrol akses (ACL) folder sebelum pencadangan. Simpan juga izin berkas melalui Properties → Security → Advanced. Hash mewakili byte berkas: jangan mengarang nilainya atau baru menghitung A sesudah berganti ke B. Get-FileHash digunakan lagi untuk membandingkan isi hasil pemulihan.

Get-Content -LiteralPath 'D:\Capstone\sample.txt'
Get-FileHash -LiteralPath 'D:\Capstone\sample.txt' -Algorithm SHA256
Get-Acl -LiteralPath 'D:\Capstone' | Format-List

Menerapkan GPO terpisah dan memeriksa hasilnya

Di Group Policy Management pada DC1, buka OU Workstations di bawah Lab, lalu buat GPO baru Lab-Capstone dan tautkan di sana. Objek Kebijakan Grup (Group Policy Object, GPO) dan tautannya ke OU adalah elemen berbeda; membuat GPO saja tidak menautkannya. Biarkan Lab-Computer-Message tetap terpisah. Berhenti jika Lab-Capstone sudah ada; catat objek dan tautan baru tanpa mengubah kebijakan lain.

1. Edit Computer Configuration → Policies → Windows Settings → Security Settings → Local Policies → Security Options.
2. Atur Interactive logon: Message title for users attempting to log on menjadi Capstone lab dan teks pesan pasangannya menjadi Course verification. Nilai ini untuk latihan, bukan pemberitahuan hukum produksi.
3. Periksa urutan tautan dan GPO lain yang mengatur kedua nilai. Jangan mengubah kebijakan domain default atau memaksakan kebijakan global hanya untuk memenangkan konflik.
4. Pada CLIENT1 jalankan gpupdate /force dalam konsol yang ditinggikan, tunggu hasil, dan tinjau permintaan keluar atau mulai ulang setelah menyimpan pekerjaan.
5. Jalankan gpresult /r /scope computer dan periksa GPO diterapkan serta ditolak. Keluar lalu cocokkan judul dan teks sebenarnya saat masuk. Untuk menelusuri konflik, gunakan juga Group Policy Results dalam konsol manajemen.

Jika pesan berbeda, periksa lokasi OU komputer, penyaringan keamanan, urutan tautan, dan konflik. Nama GPO dalam gpresult belum membuktikan nilai pengaturan yang menang. Panduan pemrosesan Kebijakan Grup menjelaskan cakupan dan prioritas. Untuk membandingkan, nonaktifkan hanya tautan Lab-Capstone lalu proses ulang kebijakan. Cocokkan pesan dengan kondisi awal: GPO lain dapat memasok nilai sebelumnya dan pengaturan keamanan tertentu dapat tetap bertahan. Melepas tautan atau memilih Not defined bukan jaminan nilai akan kosong.

Mencadangkan A dan memulihkan ke lokasi lain

Pada FS1 pastikan Windows Server Backup telah terpasang dan E: merupakan target uji yang disetujui, berbeda dari D:. Simpan hash A dan periksa sumber, target, serta ruang sebelum menyetujui perintah pencadangan. Gunakan hak pencadangan dan konsol yang ditinggikan, tunggu hasilnya, lalu lihat versi. -vssCopy membuat cadangan salinan melalui Volume Shadow Copy Service (VSS), layanan salinan bayangan volume; tidak otomatis mencadangkan seluruh sistem atau menjamin konsistensi semua aplikasi.

wbadmin start backup -backupTarget:E: -include:D:\Capstone -vssCopy
wbadmin get versions -backupTarget:E:

Catat keberhasilan, waktu dan versi yang sebenarnya, serta pastikan katalog memuat berkas yang dimaksud. Pesan selesai atau folder cadangan saja belum cukup. Setelah itu saja, ubah D:\Capstone\sample.txt baru menjadi capstone version B, simpan, dan tutup editor. Simpan B terpisah dengan nama baru tanpa menimpa A atau berkas bisnis. Ini menyimulasikan perubahan yang tidak diinginkan tanpa menghapus data operasional.

1. Buka Windows Server Backup → Recover dan pilih cadangan FS1 sebenarnya pada E: dengan waktu tercatat. Jika versi yang benar tidak muncul, berhenti; jangan asal memilih yang terbaru.
2. Pilih Files and folders dan pastikan D:\Capstone\sample.txt tersedia pada versi tersebut. Jika tidak ada, tinjau pilihan sumber yang dicadangkan.
3. Pilih Another location dalam subfolder baru, unik, dan kosong di D:\CapstoneRestore. Catat jalurnya; jangan memilih lokasi asli atau folder pemulihan sebelumnya.
4. Tinjau penanganan benturan nama, pemulihan izin keamanan, serta ringkasan sumber dan tujuan. Jalankan pemulihan setelah benar, tunggu hasil akhir, dan berhenti jika ada galat.
5. Temukan jalur sebenarnya dari sample.txt pulihan, baca isi A, dan jalankan Get-FileHash -LiteralPath untuk jalur itu dengan -Algorithm SHA256. Hasil harus cocok dengan hash A sebelum pencadangan, bukan hash B saat ini.
6. Periksa bahwa D:\Capstone\sample.txt masih berisi B dan salinan B terpisah tetap ada. Menemukan A di folder lain belum membuktikan berkas asli tidak berubah; verifikasi keduanya.

Opsi pemulihan juga memerlukan versi, item, dan tujuan yang benar. Bandingkan ACL hasil pemulihan dengan catatan sebelumnya, selain isinya. Memulihkan byte dan memulihkan akses adalah pemeriksaan berbeda. Jangan mengganti data saat ini sebelum hasil tervalidasi; dalam latihan ini B harus tetap di lokasi asal dan A berada di tujuan alternatif.

Untuk menguji akses nyata berkas pulihan tanpa memberikan hak masuk ke FS1, gunakan berbagi sementara yang dibatasi. Pastikan CapstoneRestoreCheck belum ada. Pada panduan berbagi FS1 yang sama, pilih hanya folder pelaksanaan pemulihan dan buat nama itu dengan Read bagi AD\DL_FS_Capstone_Modify serta administrasi yang diperlukan. Periksa ACL folder dan berkas, pertahankan SYSTEM dan administrator, dan jangan menambahkan izin NTFS luas untuk memaksa hasil. Dari CLIENT1, labuser1 harus dapat membaca A melalui \\fs1.ad.example.test\CapstoneRestoreCheck, sedangkan akun negatif ditolak. Gunakan jalur relatif berkas yang sebenarnya dan sesi terpisah, tanpa menyimpan ulang A. Jika ACL pulihan atau pewarisan tujuan menghalangi akses, dokumentasikan perbedaan dan koreksi terbatas sebelum meluluskan hasilnya.

Berbagi sementara dengan Read ini memverifikasi baca dan penolakan, bukan hak tulis salinan pulihan; Modify diuji pada berbagi asli. Panduan evaluasi izin efektif membedakan akses UNC dengan perhitungan lokal. Simpan hasil dan ACL sebelum menghapus hanya CapstoneRestoreCheck dari Shares. Melepas berbagi tidak memerlukan penghapusan berkas; pertahankan A, B, dan cadangan hingga peninjauan selesai dan retensi diputuskan.

Menyimpan bukti dan membersihkan secara selektif

• Simpan catatan alamat, DNS, peran, OU, akun dan grup, izin folder dan berbagi, objek serta tautan GPO, versi cadangan, dan jalur pemulihan sebenarnya.
• Catat terpisah identitas yang diizinkan dan ditolak, hasilnya, kebijakan efektif, isi serta hash A pulihan, keberadaan B, dan pengujian akses berkas yang dipulihkan.
• Dokumentasikan kegagalan, penyebab, koreksi, verifikasi ulang, dan waktu pemulihan yang benar-benar diukur beserta titik awalnya. Jangan mencatat perkiraan sebagai hasil pengukuran.
• Identifikasi dependensi host, penyimpanan, dan listrik yang masih dibagi dalam laboratorium. Menyelesaikan latihan tidak membuktikan pemulihan setelah seluruh host hilang.

Untuk pembersihan, nonaktifkan atau lepas dahulu hanya tautan Lab-Capstone, perbarui CLIENT1, lalu cocokkan kedua nilai pesan dengan catatan awal. Jika nilai laboratorium bertahan, identifikasi kebijakan efektif dan kembalikan baseline melalui konfigurasi terbatas yang disetujui. Verifikasi lagi sebelum menghapus objek uji; jangan mereset seluruh pengaturan keamanan. Dokumentasi persistensi pengaturan keamanan menjelaskan mengapa menghapus definisi tidak selalu menghapus nilai. Tentukan retensi data uji, hasil pemulihan, dan cadangan. Hapus hanya berbagi serta grup yang dibuat dalam praktik ini dan akun negatif baru jika sesuai; pertahankan OU lama dan berbagi lain.

Kriteria lulus adalah akses pengguna biasa yang diizinkan dan ditolak sesuai rencana, kebijakan yang benar, serta A pulihan dengan hash sesuai sementara B tetap utuh. Jika gagal, bandingkan DNS dan domain, identitas serta token, izin SMB dan NTFS, kebijakan efektif, dan katalog cadangan. Jangan menutupi galat dengan izin luas, menonaktifkan penandatanganan SMB, atau melonggarkan firewall.