Windows Server 2025 / Merancang izin folder bersama per departemen

Izin folder bersama per departemen lebih mudah dikelola jika pengguna masuk ke grup bisnis, grup bisnis menjadi anggota grup izin sumber daya, lalu folder memberikan hak kepada grup sumber daya tersebut. Lab ini memisahkan Sales (Penjualan) dan Support (Dukungan). Anda akan memeriksa perubahan yang diizinkan pada departemen sendiri sekaligus penolakan akses ke departemen lain.

Pisahkan akun, grup bisnis, dan grup sumber daya

Untuk satu domain, AGDLP berarti Accounts → Global groups → Domain Local groups → Permissions: akun, grup global, grup lokal domain, dan izin. Pola ini merupakan titik awal, bukan satu-satunya rancangan. Cakupan grup Active Directory memungkinkan grup global menjadi anggota grup lokal domain. Grup lokal domain tersimpan di direktori dan berbeda dari grup lokal komputer FS1.

Gunakan FS1 yang sudah bergabung ke domain dengan volume sistem file NTFS (New Technology File System). Latihan izin SMB dan NTFS menjelaskan dua lapisan izin; SMB adalah Server Message Block. Sebelum membuat D:\Shares\Sales dan D:\Shares\Support, pastikan folder dan nama berbagi belum digunakan. Buat hanya folder lab baru yang kosong, tanpa mengganti pengaturan produksi. Nama objek pada tabel adalah pengenal literal: jangan menerjemahkan Sales, Support, atau nama grup.

Buat grup dan akun uji biasa

1. Di Active Directory Users and Computers, buka Lab → LabGroups. Gunakan New → Group untuk membuat empat grup pada tabel: GG dengan cakupan Global dan DL dengan cakupan Domain local. Pilih Security untuk semuanya, bukan Distribution, dan pertahankan nama persis seperti tabel.
2. Di Lab → LabUsers, buat sales.user1 dan support.user1 dengan kata sandi awal berbeda yang memenuhi kebijakan yang berlaku. Jika pengguna wajib mengubah kata sandi saat login pertama, selesaikan perubahan itu ketika masuk ke CLIENT1 sebelum menguji folder bersama.
3. Pada properti setiap grup global, buka Members → Add. Untuk keanggotaan bisnis latihan ini, masukkan sales.user1 hanya ke GG_Sales dan support.user1 hanya ke GG_Support.
4. Pada Members milik DL_FS_Sales_Modify tambahkan GG_Sales; pada DL_FS_Support_Modify tambahkan GG_Support. Grup lokal domain berisi grup global, bukan sebaliknya.
5. Pastikan kedua akun uji bukan administrator dan tidak menjadi anggota langsung ataupun tidak langsung dari grup departemen lain. Jangan menghapus grup default tanpa memahami fungsinya.

Baca parameter pembuatan dan cakupan New-ADGroup. Untuk langkah antarmuka grafis, gunakan Active Directory Users and Computers pada DC1 atau komputer dengan alat administrasi server jarak jauh serta hak yang sesuai pada unit organisasi lab. Jalankan kueri berikut pada PowerShell yang menyediakan modul ActiveDirectory. Perubahan departemen biasanya dilakukan melalui keanggotaan grup bisnis, bukan dengan menambahkan setiap pengguna ke semua daftar kontrol akses (Access Control List, ACL) folder.

Get-ADGroupMember 'GG_Sales'
Get-ADGroupMember 'DL_FS_Sales_Modify'
Get-ADGroupMember 'GG_Support'
Get-ADGroupMember 'DL_FS_Support_Modify'

Tanpa -Recursive, Get-ADGroupMember menampilkan anggota langsung. GG_Sales harus berisi sales.user1, sedangkan DL_FS_Sales_Modify harus berisi GG_Sales; pola yang sama berlaku untuk Support. Grup sumber daya yang menampilkan grup global, bukan daftar pengguna yang sudah diuraikan, adalah hasil yang diharapkan. Periksa juga keanggotaan tidak langsung sebelum menguji pemisahan akses.

Berikan izin NTFS Modify kepada grup sumber daya

1. Di FS1, buka Properties D:\Shares\Sales → Security → Advanced. Catat entri dan cakupannya sebelum mengubah pengaturan.
2. Hanya pada folder baru yang kosong ini, nonaktifkan pewarisan dan ubah izin yang diwarisi menjadi entri eksplisit. Pertahankan Full Control yang diperlukan oleh SYSTEM dan administrator. Konversi tidak menghapus pemberian izin luas.
3. Periksa Users, Authenticated Users, Everyone, dan grup umum lain. Hapus izin yang tidak diperlukan pada folder ini, termasuk hak baca yang akan membuka akses bagi departemen lain.
4. Berikan AD\DL_FS_Sales_Modify izin Modify dengan cakupan This folder, subfolders and files. Jangan menambahkan sales.user1 langsung ke ACL.
5. Ulangi pada D:\Shares\Support menggunakan AD\DL_FS_Support_Modify. Setiap folder hanya memakai grup sumber daya yang sesuai, di samping hak administrasi yang memang diperlukan.

Modify mengizinkan perubahan isi biasa dan tidak sama dengan Full Control atau pengelolaan seluruh izin. Hak Allow dari beberapa grup dapat saling menambah. Tetapkan dahulu izin yang diperlukan dan singkirkan pemberian akses luas yang tidak perlu pada folder baru ini; jangan memulai dengan menambahkan Deny untuk departemen lain.

Atur izin berbagi dan nama server

1. Buka Properties D:\Shares\Sales → Sharing → Advanced Sharing dan bagikan folder dengan nama literal Sales.
2. Pada Permissions, berikan Change kepada AD\DL_FS_Sales_Modify dan pertahankan hak pengelolaan administrator. Hapus akses luas yang tidak diperlukan untuk pengguna lain; jangan memberi Full Control kepada seluruh domain.
3. Bagikan D:\Shares\Support dengan nama Support dan berikan Change kepada AD\DL_FS_Support_Modify. Tinjau nilai default dan simpan kedua konfigurasi secara terpisah.
4. Pada PowerShell di FS1, periksa jalur dan izin memakai perintah berikut. Name dan Path harus cocok dengan tabel. Selain entri administrasi yang diperlukan, setiap grup sumber daya harus memiliki Allow dan Change hanya pada folder bersama miliknya.

Get-SmbShare -Name Sales,Support | Select-Object Name,Path
Get-SmbShareAccess -Name Sales
Get-SmbShareAccess -Name Support

Gunakan \\fs1.ad.example.test\Sales dan \\fs1.ad.example.test\Support. Pertahankan nama server yang sama selama pengujian, tanpa mencampur alamat IP atau alias yang belum direncanakan. Enumerasi berbasis akses dapat menyembunyikan entri, tetapi nama yang tidak terlihat belum membuktikan akses ditolak. Uji juga jalur langsung ke folder bersama departemen lain.

Uji kedua identitas serta akses lintas departemen

Keluar dari CLIENT1 lalu masuk sebagai sales.user1 dalam sesi baru. Periksa whoami, whoami /groups, dan koneksi SMB agar tidak memakai sesi administrator yang tersisa. Pada Sales, buat file uji, edit, baca kembali, lalu hapus. Coba membuka Support secara langsung dan pastikan akses ditolak. Ulangi kebalikannya sebagai support.user1 dan catat hasil kedua identitas. Jika hasil berbeda dari tabel, periksa izin berbagi, ACL NTFS, pewarisan, keanggotaan, dan kredensial sebenarnya secara terpisah; jangan menutupi masalah dengan Full Control.

Untuk simulasi perpindahan, catat keanggotaan awal sales.user1, keluarkan hanya akun ini dari GG_Sales, lalu tambahkan ke GG_Support. Pertahankan ACL dan akun lain. Setelah keluar dan masuk kembali, pengguna seharusnya dapat bekerja di Support dan kehilangan akses ke Sales dalam kondisi lab ini. Pulihkan persis keanggotaan awal, perbarui sesi login, lalu uji keadaan semula. Sebelum pembersihan, telusuri semua referensi izin: menghapus grup terlebih dahulu dapat meninggalkan pengenal keamanan (Security Identifier, SID) yang tidak dapat dikenali dalam ACL. Simpan folder, konfigurasi berbagi, dan catatan untuk latihan sistem file terdistribusi DFS berikutnya.