Windows Server 2025 / Cara membuat pengguna, grup, dan OU Active Directory

Pengguna, grup, dan unit organisasi dalam Active Directory (AD) memiliki fungsi berbeda: akun mengidentifikasi pengguna, unit organisasi (OU) mengatur administrasi serta cakupan kebijakan, dan grup keamanan menerima izin atas sumber daya. Lab ini membuat labuser1 serta GG_LabUsers dalam OU khusus. Menambahkan pengguna ke grup belum memberikan akses file sebelum izin yang sesuai diberikan kepada grup tersebut.

Rencanakan OU khusus untuk lab

Pada domain ad.example.test yang sudah berfungsi, buat OU Lab dengan empat OU anak: LabUsers, LabGroups, Workstations, dan Servers. Pertahankan ejaan nama agar cocok dengan perintah. Pisahkan objek lab dari kontainer bawaan Users dan Computers. Jangan sembarangan memindahkan akun administratif bawaan, identitas layanan, atau pengontrol domain dari Domain Controllers. Bekerjalah pada DC1 atau PC administrasi yang berwenang, dengan alat Active Directory dan hak membuat serta mengubah objek pada lokasi tujuan.

Rancang OU berdasarkan delegasi administrasi dan kebijakan yang diperlukan, bukan sekadar menyalin bagan organisasi. Hierarki terlalu dalam menyulitkan pelacakan sumber pengaturan dan kewenangan. Panduan rancangan OU menjelaskan pertimbangannya. Pertahankan perlindungan terhadap penghapusan tidak sengaja pada OU baru. Perlindungan ini bukan cadangan data dan tidak menggantikan rencana pemulihan.

Buat pengguna dan grup lewat antarmuka

1. Buka dsa.msc pada DC1 atau PC berwenang dengan RSAT Active Directory. Pastikan domain yang dipilih adalah ad.example.test dan akun yang dipakai berhak mengelola objek lab.
2. Klik kanan ad.example.test → New → Organizational Unit. Buat Lab dengan perlindungan penghapusan tidak sengaja. Di dalam Lab, ulangi New → Organizational Unit untuk LabUsers, LabGroups, Workstations, dan Servers; periksa susunannya.
3. Pada LabUsers pilih New → User. Pakai Lab User One sebagai nama lengkap dan labuser1 sebagai nama masuk dengan sufiks ad.example.test. Masukkan serta konfirmasikan kata sandi awal unik yang memenuhi kebijakan, wajibkan penggantian saat masuk berikutnya, dan periksa agar akun tidak tetap dinonaktifkan. Jangan mematikan syarat kata sandi demi menyelesaikan latihan.
4. Pada LabGroups pilih New → Group dan isi GG_LabUsers. Pilih cakupan Global serta jenis Security, konfirmasikan, lalu periksa propertinya; jangan memilih Distribution.
5. Buka Properties → Members → Add pada GG_LabUsers, pilih labuser1 dan pastikan identitas yang ditemukan benar sebelum menyimpan. Periksa daftar Members grup dan Member Of pada properti pengguna; keduanya harus menunjukkan hubungan baru tersebut.

Pilih grup keamanan untuk memberikan izin sumber daya. Grup distribusi digunakan untuk daftar email dan tidak dapat menggantikan kontrol akses tersebut. Cakupan grup menentukan anggota yang diperbolehkan dan tempat penggunaannya; lab satu domain ini memakai Global. Lihat New-ADGroup dan penjelasan jenis serta cakupan grup keamanan. Menempatkan GG_LabUsers dalam LabGroups tidak otomatis menambahkan anggota atau izin sumber daya.

Gunakan PowerShell sebagai alternatif

Blok berikut merupakan alternatif pembuatan lewat antarmuka, bukan langkah untuk mengulangnya. Jalankan Windows PowerShell pada DC1 atau PC administrasi berwenang yang memiliki modul ActiveDirectory dan koneksi ke domain. Periksa dahulu apakah objek dengan nama tersebut sudah ada. Jika ada, tinjau identitas, lokasi, dan tujuannya, bukan menghapus, menimpa, atau mengulang seluruh blok. DC=ad,DC=example,DC=test dan OU=Lab merupakan jalur direktori, bukan folder disk. Read-Host -AsSecureString meminta kata sandi awal tanpa menuliskannya di dalam kode; jangan menyimpannya sebagai teks biasa dalam laporan:

Import-Module ActiveDirectory
$domainPath = 'DC=ad,DC=example,DC=test'
$labPath = 'OU=Lab,' + $domainPath
New-ADOrganizationalUnit -Name 'Lab' -Path $domainPath -ProtectedFromAccidentalDeletion $true
foreach ($ouName in 'LabUsers','LabGroups','Workstations','Servers') {
    New-ADOrganizationalUnit -Name $ouName -Path $labPath -ProtectedFromAccidentalDeletion $true
}
$initialPassword = Read-Host 'Initial password for labuser1' -AsSecureString
New-ADUser -Name 'Lab User One' -SamAccountName 'labuser1' -UserPrincipalName 'labuser1@ad.example.test' -Path ('OU=LabUsers,' + $labPath) -AccountPassword $initialPassword -Enabled $true -ChangePasswordAtLogon $true
New-ADGroup -Name 'GG_LabUsers' -GroupCategory Security -GroupScope Global -Path ('OU=LabGroups,' + $labPath)
Add-ADGroupMember -Identity 'GG_LabUsers' -Members 'labuser1'
Get-ADGroupMember -Identity 'GG_LabUsers'

Dokumentasi pembuatan OU menjelaskan -Path dan perlindungan penghapusan. Parameter New-ADUser membedakan nama objek Lab User One dari nama masuk labuser1 serta nama prinsipal pengguna labuser1@ad.example.test. -Enabled $true meminta pengaktifan akun, sedangkan -ChangePasswordAtLogon $true mewajibkan perubahan kata sandi saat masuk berikutnya. Kueri terakhir harus menampilkan labuser1 sebagai anggota langsung GG_LabUsers. Hasil ini belum membuktikan pengguna berhasil masuk atau memiliki izin file.

Jika kebijakan menolak kata sandi, New-ADUser dapat tetap membuat objek tanpa berhasil mengaktifkan akun. Periksa pesan kesalahan dan Enabled; jangan menganggap seluruh perubahan dibatalkan atau membuat pengguna yang sama lagi. Cari labuser1 dalam Active Directory Users and Computers, tetapkan kata sandi valid melalui Reset Password, lalu aktifkan akun bila diperlukan sambil mempertahankan kewajiban mengganti kata sandi saat masuk berikutnya. Referensi pengaturan ulang kata sandi AD menjelaskan alternatif administratifnya. Jangan memakai kata sandi kosong atau menonaktifkan kebijakan untuk memaksakan pengaktifan.

Pindahkan komputer dan uji pengguna standar

Sebelum memindahkan komputer, pastikan ada lima OU pada susunan yang direncanakan: Lab dan empat anaknya. Periksa labuser1 di LabUsers, GG_LabUsers di LabGroups, jenis Security dengan cakupan Global, serta hasil kueri anggota yang memuat pengguna yang diharapkan. Jika ada bagian yang belum lengkap, perbaiki langkah terkait berdasarkan kesalahan sebenarnya. Keberhasilan baris berikutnya tidak membuktikan semua baris sebelumnya berhasil.

Pindahkan hanya objek komputer yang memang sudah menjadi anggota domain. Jika CLIENT1 belum bergabung, selesaikan dahulu latihan memasukkan klien ke domain. FS1 hanya tersedia jika sebelumnya sudah dimasukkan sebagai server anggota; jika belum ada dalam AD, lewati pemindahan serta kuerinya, bukan membuat objek pengganti untuk menutupi kesalahan. Dalam Active Directory Users and Computers, klik kanan objek yang benar dan pilih Move: CLIENT1 ke Lab\Workstations, FS1 ke Lab\Servers. Pastikan keduanya bukan pengontrol domain, catat lokasi awal, dan tinjau dampak kebijakan di tujuan sebelum memindahkan. Setelah itu, periksa lokasi dan status pengguna:

Get-ADComputer -Identity 'CLIENT1' | Select-Object Name,DistinguishedName
Get-ADComputer -Identity 'FS1' | Select-Object Name,DistinguishedName
Get-ADUser -Identity 'labuser1' -Properties Enabled | Select-Object SamAccountName,Enabled,DistinguishedName

DistinguishedName untuk CLIENT1 harus memuat OU=Workstations,OU=Lab, sedangkan FS1 yang sudah menjadi anggota memuat OU=Servers,OU=Lab, diikuti DC=ad,DC=example,DC=test. Untuk labuser1, periksa SamAccountName, Enabled True, serta OU=LabUsers,OU=Lab. Simpan pekerjaan dan keluar sepenuhnya dari sesi CLIENT1; mengunci layar saja tidak cukup. Pilih Other user, masuk sebagai labuser1@ad.example.test, ubah kata sandi awal bila diminta, lalu jalankan whoami: identitas yang diharapkan adalah AD\labuser1. Grup ini belum diberi izin file; akses berbagi yang ditolak tidak dengan sendirinya membuktikan pembuatan grup gagal.

Pengaturan pengguna dan komputer mengikuti lokasi objek masing-masing serta kebijakan yang berlaku. Memindahkan labuser1 tidak memindahkan objek CLIENT1, dan menaruh GG_LabUsers dalam OU tidak memindahkan para anggotanya ke OU tersebut. Jika pemindahan memberi dampak tak terduga, periksa tautan serta pewarisan kebijakan dan pertimbangkan mengembalikan hanya objek terkait ke lokasi awal yang dicatat. Jangan memindahkan objek lain untuk mencoba mengimbangi hasil.

Tinjau perubahan anggota dan pembersihan

Sesi yang sudah berjalan dapat mempertahankan informasi grup lama dalam token akses. Token adalah objek yang menggambarkan konteks keamanan sesi atau proses; dokumentasi token akses menjelaskan informasi grup di dalamnya. Setelah perubahan anggota, simpan pekerjaan, keluar, lalu masuk kembali sebagai labuser1. Bandingkan whoami /groups dengan keanggotaan AD dan Get-ADGroupMember. Membuka jendela lain dalam sesi lama tidak menggantikan autentikasi baru. Sebelum mengganti nama atau menghapus pengguna serta grup, periksa ketergantungan aplikasi dan izin file.

Pertahankan objek untuk latihan berikutnya. Untuk pembersihan terencana, inventarisasi dahulu objek yang diperlukan, lokasi awal, tautan kebijakan, delegasi, dan izin yang bergantung padanya. Pindahkan objek yang harus dipertahankan ke tujuan yang sesuai sebelum mempertimbangkan penghapusan OU. Perlindungan terhadap penghapusan tidak sengaja memang disengaja: nonaktifkan hanya pada OU yang dipilih dan ditinjau secara khusus. Jangan melepas perlindungan atau menghapus seluruh struktur Lab secara rekursif. Pesan akses ditolak tidak membenarkan penghapusan hierarki atau perubahan akun administratif di luar latihan.