Windows Server 2025 / Cara menambahkan pengontrol domain kedua

Untuk menambahkan pengontrol domain kedua pada Windows Server 2025, instal Layanan Domain Active Directory (AD DS), lalu promosikan DC2 ke domain ad.example.test yang sudah ada. Pengontrol tambahan mereplikasi data direktori dan menyediakan autentikasi, bukan membuat forest baru. Periksa replikasi AD, DNS, SYSVOL, dan NETLOGON sebelum mengubah DNS klien.

Siapkan DC2 untuk domain yang sudah ada

DC1 harus sudah menyediakan ad.example.test dan DNS yang berfungsi di 172.24.50.10. Siapkan VM Windows Server 2025 baru bernama DC2, dengan IP statis 172.24.50.11/24 di jaringan lab terisolasi yang sama; /24 berarti subnet mask 255.255.255.0. Sebelum promosi, gunakan DNS 172.24.50.10 dan pastikan akses administrator melalui konsol VM. Jangan hanya menunjuk DNS lokal DC2 yang belum siap atau memakai DNS publik untuk mencari domain. Panduan DNS klien untuk pengontrol domain menyarankan DNS domain yang sudah berfungsi saat penambahan, kemudian verifikasi replikasi sebelum bergantung pada DNS sendiri.

• Periksa AD serta DNS DC1, ketersediaan cadangan, dan prosedur pemulihannya. Pengontrol lain bukan pengganti cadangan.
• Pastikan nama DC2 dan IP 172.24.50.11 unik, kedua VM memakai jaringan terisolasi yang sama, serta waktu dan pembaruan sudah dipersiapkan.
• Siapkan administrasi lokal server untuk memasang peran dan akun domain berhak promosi, biasanya anggota Domain Admins untuk menambahkan DC ke domain yang ada. Gunakan akun itu khusus tugas administratif.
• Periksa lalu lintas AD yang diperlukan antara kedua VM, termasuk DNS, autentikasi, dan replikasi. Ping atau kueri DNS yang berhasil tidak menguji semua protokol. Periksa aturan firewall dan cakupannya, bukan mematikan firewall.

Resolve-DnsName '_ldap._tcp.dc._msdcs.ad.example.test' -Type SRV -Server 172.24.50.10
nltest /dsgetdc:ad.example.test

Jalankan kedua kueri pada DC2. Kueri pertama secara eksplisit meminta rekaman layanan ke 172.24.50.10 dan harus menunjuk pengontrol yang diharapkan, misalnya dc1.ad.example.test. Nltest harus menemukan pengontrol ad.example.test berdasarkan konfigurasi server. Perbaiki penemuan dan koneksi sebelum mencoba kredensial lagi. Lab ini memakai instalasi server baru: mengkloning DC1 lalu sekadar mengganti nama bukan prosedur yang sama. Periksa tingkat fungsional sebenarnya dan kompatibilitas Windows Server 2025 dengan domain. Jangan menaikkan tingkat forest produksi hanya untuk meniru latihan.

Tambahkan pengontrol ke domain yang sudah ada

1. Pada DC2, buka Server Manager → Manage → Add Roles and Features. Pilih instalasi berbasis peran, konfirmasikan DC2 sebagai tujuan, lalu pasang Active Directory Domain Services beserta alat yang diperlukan.
2. Periksa keberhasilan pemasangan peran dan pilih Promote this server to a domain controller pada pemberitahuan konfigurasi setelah instalasi. Peran saja belum mengonfigurasi pengontrol.
3. Pada Deployment Configuration pilih Add a domain controller to an existing domain. Jangan membuat forest baru atau domain baru.
4. Masukkan ad.example.test dan kredensial yang berwenang. Periksa domain serta akun; akun lokal DC2 sendiri tidak memberikan izin pada AD.
5. Tinjau DNS Server, katalog global (GC, Global Catalog), serta situs tujuan. Lab ini memakai pengontrol yang dapat ditulis dengan DNS dan katalog global, bukan pengontrol domain baca-saja (RODC, Read-Only Domain Controller).
6. Masukkan dan konfirmasikan kata sandi mode pemulihan layanan direktori (DSRM) milik DC2, simpan dengan aman, lalu periksa jalur database, log, serta SYSVOL tanpa volume ReFS untuk data tersebut. Nilai peringatan, perbaiki kesalahan prasyarat, kemudian instal dan pertahankan konsol untuk mulai ulang.

Pemilihan situs harus sesuai rancangan subnet dan situs Active Directory. Lab kecil mungkin menampilkan Default-First-Site-Name, tetapi nama itu bukan aturan produksi. Tanpa -SiteName, pilihan mengikuti situs yang terkait dengan subnet; bila tidak ada pemetaan, situs sumber replikasi digunakan. Referensi Install-ADDSDomainController menjelaskan perilakunya. Tinjau situs dan konektivitas yang dipilih, bukan membuat topologi tambahan tanpa rencana hanya untuk menghilangkan peringatan.

Gunakan PowerShell jika DC2 belum dipromosikan

Blok berikut adalah alternatif wizard dan hanya digunakan jika DC2 belum dipromosikan. Buka Windows PowerShell sebagai administrator pada DC2. Baris pertama memasang peran dan alat; jika baru memasang peran melalui antarmuka, bagian itu sudah selesai. Get-Credential meminta akun domain yang berwenang mempromosikan server. Install-ADDSDomainController menambahkan DC2 ke domain tersebut dan memasang DNS. Kata sandi mode pemulihan layanan direktori (DSRM, Directory Services Restore Mode) diminta secara terpisah untuk DC2. Fungsinya berbeda dari kredensial masuk domain dan tidak boleh disimpan sebagai teks biasa dalam kode atau tangkapan layar:

Install-WindowsFeature -Name AD-Domain-Services -IncludeManagementTools
$promotionCredential = Get-Credential
Install-ADDSDomainController -DomainName 'ad.example.test' -InstallDns -Credential $promotionCredential

Server baru dapat memberikan kredensial domain saat promosi meskipun belum bergabung sebagai server anggota. Baca dan konfirmasikan permintaan pada konsol, termasuk kata sandi DSRM serta konfirmasinya, dan pertahankan akses VM. Karena -NoRebootOnCompletion tidak digunakan, mulai ulang terjadi setelah instalasi selesai. Sesudahnya, masuk dengan administrator domain yang direncanakan dan periksa DNS adaptor sebenarnya. Jangan mengulangi promosi hanya karena sesi terputus. Pertahankan DNS DC1 yang berfungsi selama memvalidasi replikasi masuk dan keluar sebelum mengandalkan DNS DC2 sendiri.

Periksa replikasi, DNS, dan SYSVOL

DC2 yang muncul dalam daftar belum membuktikan seluruh data sudah konsisten. Jalankan blok pada konsol administratif yang ditingkatkan haknya di DC2, dengan modul dan alat AD terpasang. Get-ADDomainController menampilkan pengontrol, IP, situs, dan status katalog global. Repadmin merangkum kegagalan serta menunjukkan mitra replikasi masuk DC2, sementara dcdiag menguji DNS DC2. Baris terakhir menanyakan sumber daya berbagi lokal, sehingga harus benar-benar dijalankan pada DC2, bukan pada PC administrasi lain:

Get-ADDomainController -Filter * | Select-Object HostName,IPv4Address,Site,IsGlobalCatalog
repadmin /replsummary
repadmin /showrepl DC2
dcdiag /s:DC2 /test:dns
Get-SmbShare -Name SYSVOL,NETLOGON

Pastikan dc1.ad.example.test dan dc2.ad.example.test muncul dengan alamat serta situs yang direncanakan. Pada repadmin /replsummary, tinjau kegagalan, selang sejak replikasi terakhir, dan percobaan sebenarnya: nol kegagalan saja belum cukup tanpa keberhasilan terkini. Pada /showrepl DC2, periksa mitra dan setiap partisi yang diharapkan. Ulangi baris repadmin /showrepl DC2 dengan mengganti DC2 menjadi DC1 untuk memeriksa mitra serta partisi masuk DC1, sebelum menyimpulkan kedua arah sudah benar.

Get-SmbShare harus menampilkan SYSVOL dan NETLOGON pada DC2. Dari CLIENT1, ulangi kueri SRV pertama dalam artikel dua kali dengan hanya mengganti -Server: pertama 172.24.50.10, lalu 172.24.50.11. Setelah replikasi konsisten, kedua DNS harus dapat menjawab layanan domain secara konsisten. Periksa tujuan dan kesalahan; alamat DNS yang ditanya berbeda dari alamat tujuan rekaman SRV. Zona latihan berbasis file lab.example.test tidak otomatis disalin melalui AD. Zona yang terintegrasi dengan AD direplikasi sesuai cakupannya; periksa jenis serta cakupan setiap zona sebelum mengharapkan data yang sama pada kedua DNS.

Tinjau setiap kegagalan DCDiag serta peristiwa terkait pada Directory Service, DNS Server, dan DFS Replication. Bedakan inisialisasi setelah mulai ulang dari kesalahan persisten; jika SYSVOL atau NETLOGON belum ada, DC2 belum siap. Periksa nama mitra, koneksi, waktu, izin, dan status replikasi, perbaiki penyebabnya, lalu ulangi pengujian yang sama. Jangan menggantikan diagnosis dengan menonaktifkan perlindungan atau menghapus dan membuat ulang pengontrol.

Untuk uji perubahan data, gunakan hanya objek khusus lab, misalnya labuser1 dari latihan pengguna dan OU. Pada dsa.msc, pilih DC1 secara eksplisit melalui Change Domain Controller. Buka properti pengguna dan catat seluruh nilai Description awal, termasuk jika kosong. Simpan deskripsi sementara yang mudah dikenali, pilih DC2 secara eksplisit, lalu buka ulang objek yang sama dan periksa nilainya. Setelah itu, pulihkan nilai awal melalui DC1 dan pastikan pemulihannya juga terlihat pada DC2. Jangan mengubah akun produksi atau menganggap satu atribut membuktikan semua partisi. Jika belum konsisten, catat waktu, server, dan kesalahan, lalu gunakan panduan diagnosis kegagalan replikasi untuk memeriksa ketergantungannya.

Ubah DNS klien setelah validasi

Hanya setelah DNS DC2 dan replikasi terverifikasi, uji satu klien atau komputer anggota terlebih dahulu. Pada konsol CLIENT1, catat alamat serta mode DNS awal. Untuk uji manual, buka ncpa.cpl → Properties pada adaptor lab → Internet Protocol Version 4 (TCP/IPv4), lalu isi Preferred DNS 172.24.50.10 dan Alternate DNS 172.24.50.11 tanpa mengubah IP, mask, atau gateway. Periksa kembali penemuan domain, resolusi nama, dan proses masuk labuser1. Jika gagal, pulihkan nilai serta mode DNS yang dicatat; bila awalnya otomatis melalui DHCP, kembalikan ke otomatis. Jangan mengubah opsi DHCP seluruh klien sebelum uji ini atau menambahkan DNS publik ke daftar DNS internal.

DC tambahan tidak otomatis mereplikasi sewa DHCP, file FS1, atau semua zona DNS. Penambahannya juga tidak otomatis memindahkan peran operasi master tunggal fleksibel (FSMO, Flexible Single Master Operations); pengelolaan peran tersebut merupakan tugas terpisah. Dua VM pada host yang sama berbagi risiko kegagalan host dan tidak menggantikan cadangan. Pertahankan kedua pengontrol untuk latihan berikutnya. Jika kelak melepas DC2, tinjau DNS klien dan server, replikasi, katalog global, peran, serta ketergantungan lain sebelum penurunan peran terencana. Menghapus VM bukan cara menghapus pengontrol secara benar dari domain.