Windows Server 2025 / Cara Mengelola Pengguna dan Grup Lokal

Pengguna lokal merupakan akun pada satu instalasi Windows Server tertentu. Grup lokal mengelompokkan akun agar server dapat memberikan izin dan hak kepada para anggotanya. Pisahkan akun sehari-hari dari akun administrasi dan berikan hanya keanggotaan grup yang diperlukan untuk tugasnya.

Bedakan identitas lokal dan domain

Pengguna labuser lokal di FS1 dikelola oleh FS1. Membuat nama yang sama di server lain menciptakan identitas yang berbeda. Akun domain dikelola di Active Directory dan dapat mengautentikasi di komputer yang tergabung.

Lakukan lab ini di FS1 sebelum menjadi domain controller. Sebuah controller tidak menampilkan manajemen akun lokal server anggota biasa dengan cara yang sama; ketidakhadiran node Local Users and Groups di DC1 bukanlah kesalahan itu sendiri.

Buat pengguna dan grup dari antarmuka grafis

1. Pada FS1 dengan Desktop Experience, masuk sebagai administrator dan buka compmgmt.msc. Untuk Server Core, gunakan prosedur PowerShell pada bagian berikutnya.
2. Buka System Tools → Local Users and Groups → Users, lalu pilih New User dari menu konteks.
3. Buat labuser dengan kata sandi unik. Pilih kondisi perubahan kata sandi yang sesuai dengan metode masuk dan kebijakan yang direncanakan.
4. Buka Local Users and Groups → Groups, pilih New Group, lalu buat LabReaders. Tambahkan pengguna lokal labuser dan periksa bahwa asal akunnya FS1. Jangan menambahkannya ke Administrators.

LabReaders adalah nama grup Anda sendiri dan tidak berubah dengan bahasa antarmuka Windows. Nama tampilan grup bawaan dapat dilokalkan, jadi periksa deskripsi dan anggota serta nama-nama.

Keanggotaan saja tidak memberikan akses file atau masuk jarak jauh. Anda harus secara terpisah menetapkan izin grup pada suatu sumber daya atau hak dalam kebijakan masuk yang berlaku.

Buat konfigurasi setara dengan PowerShell

Jangan membuat ulang nama yang sudah ada setelah latihan antarmuka grafis. Pada FS1 yang belum memiliki objek ini, gunakan Windows PowerShell 64-bit dengan hak administrator. New-LocalUser menerima kata sandi sebagai objek SecureString. Read-Host dengan -AsSecureString membacanya tanpa harus menuliskan kata sandi sebagai teks terlihat dalam kode:

$labPassword = Read-Host 'Password for labuser' -AsSecureString
New-LocalUser -Name 'labuser' -Password $labPassword -Description 'Lab standard user'
New-LocalGroup -Name 'LabReaders' -Description 'Lab read access group'
Add-LocalGroupMember -Group 'LabReaders' -Member "$env:COMPUTERNAME\labuser"
Get-LocalGroupMember -Group 'LabReaders'

Perintah terakhir harus menampilkan FS1\labuser sebagai anggota LabReaders. Penyebutan nama komputer pada Add-LocalGroupMember membedakan akun lokal dari akun domain bernama sama; lihat dokumentasi keanggotaan grup lokal. Jangan menaruh kata sandi dalam kode atau menggunakan akun tanpa kata sandi sebagai jalan pintas. Modul LocalAccounts tidak tersedia pada PowerShell 32-bit di sistem 64-bit.

Verifikasi status akun dan sesi pengguna yang sebenarnya

Periksa pembuatan akun secara terpisah dari akses yang benar-benar dimiliki. Dua kueri pertama berikut menunjukkan status labuser dan keanggotaan grup; Enabled menunjukkan apakah akun aktif. Jalankan whoami dan whoami /groups pada sesi pengguna standar yang sebenarnya, bukan jendela administrator, untuk memeriksa identitas dan grup sesi tersebut.

Get-LocalUser -Name 'labuser' | Select-Object Name,Enabled,LastLogon
Get-LocalGroupMember -Group 'LabReaders'
whoami
whoami /groups

Sesi yang masih terbuka dapat mempertahankan token akses awal, yaitu data keamanan saat pengguna masuk, meskipun keanggotaan grup berubah. Keluar lalu masuk kembali sebelum membandingkan hasil. Jika gagal masuk, periksa status akun, kata sandi, tata letak keyboard, serta identitas lokal atau domain. Kebijakan yang menolak masuk dapat mengesampingkan keanggotaan grup; memberi hak administrator bukan solusi umum.

Nonaktifkan terlebih dahulu ketika sebuah akun hanya sementara tidak digunakan

Kedua baris berikut merupakan alternatif yang berlawanan: Disable-LocalUser menonaktifkan akun dan Enable-LocalUser mengaktifkannya kembali. Jalankan hanya baris yang diperlukan, bukan seluruh blok secara berurutan:

Disable-LocalUser -Name 'labuser'
Enable-LocalUser -Name 'labuser'

Sebelum menghapus konfigurasi pengguna dan grup lab secara permanen, periksa izin yang masih diberikan kepada grup. Hapus keanggotaannya dahulu, kemudian hapus grup dan pengguna hanya jika tidak lagi diperlukan:

Remove-LocalGroupMember -Group 'LabReaders' -Member "$env:COMPUTERNAME\labuser"
Remove-LocalGroup -Name 'LabReaders'
Remove-LocalUser -Name 'labuser'

Akun yang dibuat ulang dengan nama sama memperoleh pengenal keamanan berbeda, yaitu SID (Security Identifier), seperti dijelaskan dalam dokumentasi pengenal keamanan. Izin lama tidak otomatis berpindah ke akun baru. Pertahankan akun jika masih diperlukan dalam latihan izin file berikutnya. Sebelum menonaktifkan akun administratif, pastikan ada jalur masuk administrator lain yang berfungsi.