Windows Server 2025 / Mengatasi Masalah Penerapan Kebijakan Grup

Jika pengaturan Kebijakan Grup (Group Policy) tidak diterapkan di Windows Server 2025, periksa isi pengaturan, tautan dan cakupan, filter serta izin, koneksi domain, lalu hasil nyata di klien. Gunakan gpresult dan kejadian sistem untuk menemukan alasan penolakan atau kebijakan yang menentukan nilai akhir sebelum mengubah konfigurasi. Mengulang gpupdate tanpa diagnosis tidak membuktikan bahwa pengaturan mencapai pengguna atau komputer yang tepat.

Tentukan komputer, pengguna, dan nilai yang bermasalah

Tentukan satu komputer, pengguna, dan nilai pengaturan yang akan diperiksa. Untuk pesan masuk pada CLIENT1, catat objek kebijakan grup (GPO), unit organisasi (OU) komputer, serta judul yang diharapkan. Jika melanjutkan latihan membuat dan menautkan GPO, periksa Lab-Computer-Message pada Lab\Workstations dan judul literal Lab computer; jangan menerjemahkan nilai latihan. Jika pesan sudah dihapus pada tahap sebelumnya, pastikan dulu keadaan yang kini diharapkan. Untuk kebijakan pengguna, identifikasi pengguna yang benar-benar masuk beserta OU-nya. Bedakan satu pengaturan yang gagal, semua pengaturan yang gagal, dan masalah yang hanya muncul pada klien tertentu.

Kueri berikut dijalankan di CLIENT1 untuk memeriksa nama komputer, identitas sesi, dan keanggotaan domain. Nama CLIENT1 dan PartOfDomain = True adalah hasil yang diharapkan pada lab, tetapi bukan bukti bahwa GPO tertentu telah diproses. LOGONSERVER mencerminkan konteks masuk, bukan bukti pasti pengendali domain yang menyediakan setiap siklus kebijakan berikutnya. Selama replikasi berlangsung, pengendali yang berbeda dapat memperlihatkan perubahan pada waktu berbeda. Panduan Microsoft untuk diagnosis penerapan Kebijakan Grup menggunakan laporan dan kejadian sebagai bukti yang dibandingkan:

hostname
whoami
$env:LOGONSERVER
Get-CimInstance Win32_ComputerSystem | Select-Object Domain,PartOfDomain

Periksa isi dan tautan pada GPMC

1. Buka konsol pengelolaan Kebijakan Grup (GPMC, gpmc.msc), pilih GPO yang benar, lalu buka Settings. Pastikan nilai yang diharapkan sudah disimpan. Untuk contoh pesan lab, judul dan teksnya berada pada Computer Configuration → Policies → Windows Settings → Security Settings → Local Policies → Security Options.
2. Pastikan pengaturan termasuk Computer Configuration atau User Configuration. Lokasi objek komputer menentukan cakupan komputer; OU administrator yang mengelola GPO tidak menggantikannya.
3. Periksa tautan pada OU yang sesuai, Link Enabled, dan GPO Status. Tautan nonaktif, seluruh GPO nonaktif, serta hanya bagian komputer atau pengguna nonaktif merupakan kondisi berbeda.
4. Pada Scope dan Delegation, bedakan Read dari Apply Group Policy serta periksa izin efektif dan penolakan. Keanggotaan grup atau kemampuan membuka GPO saja tidak membuktikan bahwa GPO dapat diterapkan.
5. Tinjau filter Windows Management Instrumentation (WMI), yaitu mekanisme pengelolaan Windows yang kuerinya dievaluasi pada komputer sasaran, serta Block Inheritance dan Enforced. Periksa kondisinya tanpa mengaktifkan atau menghapusnya sembarangan.

Menghapus Authenticated Users dari Security Filtering menghapus izin Read dan Apply Group Policy sekaligus, bukan langsung menghasilkan cakupan terbatas yang benar. Pengguna sasaran memerlukan izin yang sesuai, dan akun komputer juga harus dapat membaca GPO pengguna. Penjelasan Microsoft tentang hak komputer membaca GPO membedakan kebutuhan tersebut. Jika penyebab yang terbukti adalah izin baca komputer, gunakan Delegation → Add untuk memberi Read kepada komputer atau grup yang ditentukan rancangan. Jangan memberikan Apply kepada seluruh domain demi kemudahan. Periksa penolakan eksplisit sebelum menambah izin. Panduan cakupan dan pemfilteran membantu menentukan sasaran; jangan mengubah filter produksi untuk memaksakan hasil latihan.

Kumpulkan hasil nyata dari klien

Di CLIENT1, buka Windows PowerShell dengan Run as administrator untuk kueri dan laporan komputer. Baris terakhir membaca hasil pengguna dari identitas yang menjalankan perintah, sehingga hanya mewakili pengguna terdampak jika identitasnya sama. Jika elevasi memakai akun administrator lain, jalankan gpresult /r /scope user secara terpisah dalam sesi nyata pengguna terdampak. Jangan mengganti hasilnya dengan data administrator. gpresult menampilkan Resultant Set of Policy (RSoP), yaitu hasil kebijakan yang diterapkan. Contoh ini memakai klien x64; pada Windows ARM64, Microsoft menyatakan bahwa /h memerlukan program gpresult di SysWow64:

$reportDirectory = Join-Path $env:TEMP ('gp-check-' + (Get-Date -Format 'yyyyMMdd-HHmmss'))
New-Item -ItemType Directory -Path $reportDirectory | Out-Null
gpresult /r /scope computer
gpresult /scope computer /h (Join-Path $reportDirectory 'computer.html')
gpresult /r /scope user

Blok ini membuat direktori gp-check dengan penanda tanggal dan waktu di folder sementara, lalu menyimpan computer.html di dalamnya; browser tidak dibuka otomatis. Baca nilai $reportDirectory untuk menemukan berkas, kemudian buka dengan browser. Jika pembuatan direktori gagal atau gpresult melaporkan kesalahan, berhenti dan jangan menafsirkan laporan lama sebagai hasil terkini. Periksa komputer, cakupan, dan waktu pengumpulan dalam laporan. Ringkasan pengguna dari baris terakhir ditampilkan di konsol, bukan disimpan dalam computer.html.

GPO yang ada dalam daftar diterapkan belum tentu membuat setiap pengaturan bekerja seperti yang diharapkan. Di computer.html, cari nilai pengaturan yang tepat dan GPO sumbernya, lalu gunakan kriteria pada tabel. Periksa versi sistem operasi yang didukung, templat administratif, bagian komputer atau pengguna, serta kesalahan ekstensi pemroses pengaturan. Dokumentasi hasil Kebijakan Grup membedakan hasil pengamatan dari simulasi pemodelan. Jika GPO lain memberikan nilai akhir, periksa prioritas melalui pelajaran urutan penerapan dan pewarisan alih-alih langsung mengaktifkan Enforced.

Cocokkan DNS, SYSVOL, replikasi, dan kejadian

Jalankan kueri diagnosis ini pada CLIENT1 dengan izin membaca log. Resolve-DnsName memakai konfigurasi DNS klien dan harus dapat menemukan layanan domain lab; jangan mengganti DNS domain dengan DNS publik untuk pemeriksaan ini. Test-Path hanya memeriksa akses ke jalur yang disebutkan. True tidak membuktikan seluruh berkas setiap GPO dan izinnya benar; False juga belum menentukan penyebab tunggal. Masalah bisa melibatkan resolusi nama, izin, atau konektivitas. Perintah terakhir hanya mengambil 30 kejadian terbaru dan bisa melewatkan siklus yang sedang diselidiki. Jangan mematikan firewall untuk memaksakan respons.

Resolve-DnsName '_ldap._tcp.dc._msdcs.ad.example.test' -Type SRV
Test-Path '\\ad.example.test\SYSVOL'
Get-WinEvent -LogName 'Microsoft-Windows-GroupPolicy/Operational' -MaxEvents 30 | Select-Object TimeCreated,Id,LevelDisplayName,Message

Di Event Viewer pada CLIENT1, buka Windows Logs → System dan cari peringatan atau kesalahan GroupPolicy pada waktu terkait. Buka Details untuk membaca ActivityID dan pengendali yang disebutkan. Lalu buka Applications and Services Logs → Microsoft → Windows → GroupPolicy → Operational untuk mencocokkan kejadian dalam siklus yang sama. Pilihan properti pada perintah tidak menampilkan ActivityID, sehingga identitas itu harus dilihat pada detail. Penyegaran berikutnya memperoleh ID baru; jangan mencampur siklus atau menganggap keberhasilan lama sebagai bukti pengujian terbaru. Jika 30 kejadian terakhir tidak mencakup waktu yang dibutuhkan, perluas pemeriksaan ke rentang yang benar.

Satu GPO memiliki bagian pada Active Directory (AD) dan bagian berkas pada SYSVOL, yaitu folder bersama pada domain yang menyimpan kebijakan dan skrip. Periksa pengendali yang disebut dalam kejadian serta apakah perubahan terkait telah mencapai DC1 dan DC2. Pelajaran replikasi AD membantu memeriksa bagian direktori; keberhasilannya saja tidak membuktikan berkas SYSVOL sudah direplikasi. Periksa pula keadaan dan kejadian DFS Replication, layanan replikasi sistem berkas terdistribusi, yang relevan. Jangan menimpa paksa dengan salinan lama dari pengendali lain atau menghapus SYSVOL sebagai perbaikan umum.

Perbaiki satu penyebab lalu periksa kembali

Perbaiki satu penyebab yang telah dibuktikan, lalu catat perubahan dan nilai sebelumnya. Untuk masalah komputer pada CLIENT1, segarkan hanya cakupan komputer dengan perintah berikut. Jika penyebabnya berada pada kebijakan pengguna, tangani cakupan itu dalam sesi yang tepat. Keluar dan masuk kembali atau mulai ulang hanya jika pengaturan terkait memang memerlukannya. Pesan lab diperiksa pada login berikutnya dan bukan alasan memulai ulang server secara sembarangan:

gpupdate /target:computer /force

Sesudah perbaikan, buat laporan baru pada direktori baru dan bandingkan nilai yang diharapkan, GPO sumber akhir, serta perilaku nyata. Keluaran gpupdate saja belum membuktikan semua itu. Ketentuan pemrosesan kebijakan mencakup ekstensi yang membutuhkan login atau startup. Pada skenario yang sengaja dikonfigurasi, loopback dapat menggabungkan atau mengganti kebijakan pengguna dengan kebijakan yang terkait komputer; jangan mengaktifkannya sebagai perbaikan serbaguna. Jika masalah belum selesai, batalkan hanya perubahan yang dibuat dan simpan kesalahan tersisa, waktu pengumpulan, serta identitas sesi.

Laporan HTML dan kejadian dapat memuat nama pengguna, komputer, domain, dan jalur internal. Simpan dengan akses terbatas, pilih informasi yang benar-benar diperlukan, dan samarkan data internal yang tidak relevan sebelum membagikan diagnosis secara publik. Jangan menyertakan kata sandi atau mengaktifkan pencatatan debug terperinci secara permanen hanya untuk memperbanyak data.