Windows Server 2025 / Cara membuat domain dan forest Active Directory pertama

Untuk membuat domain pertama di Windows Server 2025, instal Layanan Domain Active Directory (AD DS, Active Directory Domain Services), lalu promosikan DC1 menjadi pengontrol domain pertama dalam forest baru. Latihan ini membuat ad.example.test di jaringan terisolasi. Pilihan forest baru hanya sesuai untuk lab baru ini, bukan untuk menambahkan pengontrol ke domain organisasi yang sudah ada.

Periksa prasyarat forest baru

Gunakan konsol mesin virtual DC1 dengan akun administrator lokal dan pertahankan akses konsol selama promosi serta mulai ulang. Periksa nama komputer, IP statis, pembaruan, waktu, dan sambungan ke jaringan terisolasi 172.24.50.0/24; /24 berarti subnet mask 255.255.255.0. Jika DC1 sudah menyediakan DNS, pastikan DNS lokal 172.24.50.10 berfungsi. Jika belum ada DNS, peran tersebut dapat dipasang saat promosi, kemudian pengaturannya harus diperiksa. Pertahankan zona latihan lab.example.test secara terpisah dari domain baru. Pelajari kembali hubungan forest, domain, dan OU sebelum mengubah server.

Siapkan kata sandi unik dan kuat untuk mode pemulihan layanan direktori (DSRM, Directory Services Restore Mode) serta simpan dengan aman. Kata sandi ini digunakan untuk pemulihan direktori, bukan untuk masuk ke domain sehari-hari, dan harus memenuhi kebijakan kata sandi yang berlaku. Jangan menyimpannya sebagai teks biasa dalam skrip, log, atau tangkapan layar. Penjelasan halaman wizard AD DS menerangkan kolom terkait. Tentukan ruang nama dan cara menyimpan kredensial pemulihan sebelum memulai.

Instal AD DS dan mulai promosi

1. Pada DC1, buka Server Manager → Manage → Add Roles and Features. Pilih Role-based or feature-based installation dan pastikan server tujuan adalah DC1.
2. Pilih Active Directory Domain Services, setujui Add Features untuk alat yang diperlukan, lalu tinjau pilihan dan pilih Install. Pastikan pemasangan peran selesai dengan sukses.
3. Pada pemberitahuan konfigurasi setelah instalasi, pilih Promote this server to a domain controller. Tindakan ini membuka wizard konfigurasi; pemasangan peran saja belum membuat domain.
4. Pada Deployment Configuration, pilih Add a new forest dan masukkan ad.example.test sebagai nama domain akar. Periksa ejaan dan pastikan sasaran memang forest lab baru.

Instalasi peran hanya menyediakan berkas dan alat; promosi merupakan tahap terpisah yang membuat pengontrol domain. Panduan instalasi AD DS Microsoft menjelaskan kedua metode. Pilih jalur antarmuka atau alternatif PowerShell berikut, dan jangan membuat forest lagi setelah promosi selesai. Saat menambahkan DC2 kelak, tambahkan pengontrol ke domain yang sudah ada, bukan membuat forest lain.

Tinjau tingkat fungsional, DNS, dan pemulihan

1. Pada Domain Controller Options, periksa tingkat fungsional domain dan forest. Lab ini dapat memilih 2025 untuk keduanya jika DC1 dan seluruh DC yang direncanakan menggunakan Windows Server 2025. Catat pilihan Anda.
2. Pertahankan DNS untuk rancangan ini dan periksa katalog global (GC, Global Catalog). DC pertama dalam forest harus menjadi katalog global dan tidak dapat berupa pengontrol domain baca-saja (RODC, Read-Only Domain Controller).
3. Masukkan serta konfirmasikan kata sandi DSRM yang sudah disiapkan. Simpan melalui prosedur aman, tanpa menyalinnya ke catatan latihan.
4. Nilai peringatan delegasi DNS berdasarkan zona induk sebenarnya. Lab .test terisolasi ini tidak mempunyai DNS induk eksternal yang dikelola, sehingga peringatan tersebut dapat diperkirakan. Hal itu tidak membenarkan pengabaian kesalahan DNS atau prasyarat lainnya.
5. Periksa nama NetBIOS AD serta lokasi database, log, dan SYSVOL. Jika tidak ada rancangan penyimpanan lain, pertahankan lokasi lokal yang disarankan dan catat lokasinya. Jangan gunakan volume ReFS untuk data tersebut.
6. Tinjau opsi dan jalankan pemeriksaan prasyarat. Perbaiki kesalahan yang menghalangi instalasi dan pahami setiap peringatan sebelum memilih Install. Pertahankan akses konsol untuk mulai ulang.

Tingkat fungsional menentukan kemampuan AD serta versi sistem operasi yang didukung pada pengontrol domain, bukan versi sistem operasi CLIENT1. Tingkat fungsional domain dan forest 2025 mensyaratkan semua DC menggunakan Windows Server 2025. Periksa matriks kompatibilitas tingkat fungsional. Sebelum menambahkan DC Windows Server 2025 ke domain yang sudah ada, tingkat fungsional domain tersebut harus minimal 2016. Panduan menaikkan tingkat fungsional menjelaskan syarat dan pemeriksaannya. Jangan menaikkan lingkungan produksi hanya untuk meniru lab ini.

Sebagai alternatif wizard, buka Windows PowerShell sebagai administrator pada DC1 dan gunakan blok berikut hanya untuk forest lab baru. Baris pertama memasang peran dan alat manajemen; jika baru memasang peran lewat antarmuka, tahap itu sudah selesai tetapi promosi belum dilakukan. Baris kedua membuat forest dan meminta kata sandi DSRM tanpa menuliskannya dalam perintah. Contoh ini tidak menentukan -DomainMode atau -ForestMode sehingga tidak menjanjikan nilai default tertentu. Jika keduanya harus 2025, periksa bantuan versi yang terpasang dan prasyaratnya terlebih dahulu, atau pilih tingkat tersebut secara eksplisit melalui wizard. Lihat referensi Install-ADDSForest untuk parameter:

Install-WindowsFeature -Name AD-Domain-Services -IncludeManagementTools
Install-ADDSForest -DomainName 'ad.example.test' -DomainNetbiosName 'AD' -InstallDns

Baca permintaan kata sandi dan konfirmasi pada konsol sebelum menyetujuinya. Karena perintah tidak menyertakan -NoRebootOnCompletion, mulai ulang diharapkan pada akhir proses. Jangan menyamakan pemasangan peran dengan selesainya penyediaan domain atau menjalankan Install-ADDSForest lagi setelah sesi kembali. Lanjutkan dengan pemeriksaan domain yang sudah dibuat dan tingkat fungsional sebenarnya.

Periksa layanan domain setelah mulai ulang

Setelah mulai ulang, masuk melalui konsol DC1 dengan akun administrator domain yang direncanakan. AD\Administrator hanya contoh jika nama akun itu memang digunakan; sesuaikan dengan nama sebenarnya bila dilokalkan atau diganti. Buka Windows PowerShell sebagai administrator pada DC1, bukan CLIENT1, lalu jalankan kueri dan diagnosis berikut:

whoami
Get-ADDomain | Select-Object DNSRoot,NetBIOSName,DomainMode
Get-ADForest | Select-Object RootDomain,ForestMode
Get-DnsServerZone
Resolve-DnsName '_ldap._tcp.dc._msdcs.ad.example.test' -Type SRV -Server 172.24.50.10
Get-SmbShare -Name SYSVOL,NETLOGON
dcdiag /test:dns

Whoami harus menunjukkan akun domain yang direncanakan. DNSRoot dan RootDomain harus sesuai ad.example.test, sedangkan NetBIOSName harus AD. DomainMode dan ForestMode menunjukkan tingkat yang benar-benar ditetapkan; cocokkan dengan rancangan, bukan menebaknya dari versi Windows Server. Pemeriksaan konfigurasi ini belum menguji keanggotaan CLIENT1 ataupun aksesnya ke sumber daya.

Periksa zona DNS dan jawaban rekaman layanan SRV: tujuannya harus pengontrol yang diharapkan, misalnya dc1.ad.example.test. SYSVOL serta NETLOGON harus tersedia sebagai sumber daya berbagi. Keberadaan lab.example.test saja tidak membuktikan domain AD sudah terbentuk. Tinjau hasil DCDiag berdasarkan pengujian spesifik yang gagal. Bedakan inisialisasi setelah mulai ulang dari kesalahan persisten, periksa peristiwa terkait, lalu ulangi pengujian yang sama setelah penyebabnya diperbaiki. Jangan menganggap kegagalan berulang sebagai kondisi normal.

Sesuaikan DHCP yang sudah ada dengan domain

Hanya jika DC1 sudah menyediakan DHCP, gunakan baris pertama untuk memeriksa otorisasi di Active Directory. Cocokkan nama dc1.ad.example.test dan IP 172.24.50.10. Jalankan Add-DhcpServerInDC pada baris kedua hanya bila otorisasi yang sesuai belum ada dan akun Anda memiliki izin otorisasi AD; lewati baris itu jika sudah terdaftar. Ikuti panduan otorisasi DHCP. Baris ketiga hanya untuk scope 172.24.50.0 yang sudah ada. Jangan menjalankan ketiga baris tanpa memeriksa kondisi masing-masing:

Get-DhcpServerInDC
Add-DhcpServerInDC -DnsName 'dc1.ad.example.test' -IPAddress 172.24.50.10
Set-DhcpServerv4OptionValue -ScopeId 172.24.50.0 -DnsServer 172.24.50.10 -DnsDomain 'ad.example.test'

Periksa keberadaan scope dan opsi awalnya sebelum menetapkan DNS 172.24.50.10 serta sufiks ad.example.test sesuai domain baru. Dari konsol CLIENT1, perbarui sewa pada adaptor lab yang benar dan periksa server DHCP, DNS, serta sufiks melalui ipconfig /all. Saat menggunakan DHCP, biarkan alamat IP maupun DNS diperoleh otomatis; jangan memperbarui adaptor jaringan lain secara tidak sengaja. Sufiks yang diterima tidak menjadikan CLIENT1 anggota domain. Proses bergabung dan pengujian masuk ke domain dilakukan terpisah.

Untuk membatalkan promosi, jangan mulai dengan menghapus VM atau berkas peran. Tentukan apakah DC1 merupakan pengontrol terakhir dan akun, zona DNS, scope DHCP, serta klien apa yang bergantung pada domain tersebut. Penurunan peran dan pemulihan memerlukan rencana tersendiri yang mencakup ketergantungan serta kredensial yang diperlukan. Pertahankan domain untuk latihan berikutnya. Jika instalasi gagal, catat tahap dan pesan kesalahannya sebelum mencoba membuat forest lagi.