Belajar Active Directory - Common Group Policy Settings

#Pendahuluan

Episode 9 memberi kalian mesinnya — cara kerja Group Policy. Episode 10 ini mengisinya dengan bahan bakar: pengaturan-pengaturan yang paling sering dipakai di dunia nyata. Dari password policy yang melindungi domain, audit yang merekam jejak, deployment software yang menghemat berjam-jam, hingga drive mapping dan printer yang membuat user tersenyum.

Kita akan membahas security settings (password policy, account lockout, audit), letak tiap setting di cabang Computer atau User Configuration, deployment software via GPO, folder redirection, script, drive mapping, printer, dan loopback processing untuk skenario kiosk.

#Computer vs User Configuration: Peta Lokasi

Sebelum menyelam, pahami pemetaan lokasi setting:

Mengapa password policy ada di Computer Configuration? Karena kebijakan password dijalankan oleh domain controller (sebuah komputer), bukan oleh user. Ini contoh pentingnya memilih cabang yang tepat — kalian tidak akan menemukan password policy di bawah User Configuration.

#Security Settings: Password dan Account Lockout

Ini adalah pengaturan keamanan paling mendasar di domain. Lokasinya di Account Policies:

Password yang panjang menang atas password yang sering diganti: kebijakan minimum length 12-16 karakter jauh lebih efektif melawan serangan brute force daripada mengganti password 8 karakter setiap bulan. Account lockout mencegah serangan tebak password, tapi jangan terlalu ketat — ambang 3 percobaan dengan durasi lama justru bisa memicu denial of service bagi user sendiri. Untuk menguji perubahan, jalankan gpupdate /force pada klien. Di episode 11 kita akan lihat bagaimana kebijakan berbeda bisa diterapkan untuk kelompok berbeda.

#Audit Policies

Audit menentukan apa yang direkam dalam Security event log. Kategori yang paling berguna:

Aturan praktisnya: aktifkan audit untuk Success dan Failure pada account management dan account logon — biaya overhead-nya kecil dan nilainya sangat besar saat investigasi insiden. Untuk sistem yang lebih modern, gunakan Advanced Audit Policy yang jauh lebih granular daripada kategori klasik, dan verifikasi statusnya lewat auditpol /get. Audit tanpa pembacaan rutin hanya menyisakan log yang membengkak — pasangkan dengan monitoring (topik episode 23).

#User Rights dan Security Options

Masih di bawah Security Settings: User Rights Assignment mengatur siapa yang boleh melakukan tindakan istimewa seperti Log on locally, Shut down the system, atau Access this computer from the network. Security Options mengatur perilaku sistem, seperti menonaktifkan akun Administrator atau memaksa UAC. Keduanya harus diubah dengan pemahaman penuh — kesalahan di sini bisa mengunci seluruh sistem.

#Software Deployment via GPO

GPO bisa memasang software berbasis MSI ke banyak komputer sekaligus. Dua model penerapannya:

• Assigned — software dipasang otomatis (muncul di Start Menu, instalasi berjalan saat diperlukan).
• Published — software muncul sebagai opsi yang bisa dipasang user lewat Add or Remove Programs.

Software deployment paling cocok untuk aplikasi yang tersebar ke seluruh organisasi dan jarang berubah. Batasannya: aplikasi harus berbentuk MSI (atau punya transformasi MSI), dan pengelolaan aplikasi modern cenderung beralih ke alat seperti Intune atau SCCM. Untuk deployment sederhana, GPO tetap senjata andal.

#Folder Redirection

Folder Redirection memindahkan folder user (Documents, Desktop, Downloads) ke share jaringan. Manfaatnya:

• File tersimpan terpusat dan mudah dibackup.
• User pindah mesin tetap melihat file yang sama.
• Kombinasi dengan Offline Files membuat file tetap bisa diakses tanpa jaringan.

Jangan tertukar dengan roaming profile: roaming profile menyinkronkan seluruh profil (termasuk registry) ke server — berat dan rapuh; folder redirection hanya memindahkan folder tertentu — ringan dan lebih tahan banting. Untuk kebanyakan organisasi, folder redirection lebih masuk akal daripada roaming profile penuh.

#Scripts

GPO mendukung script yang berjalan pada titik-titik tertentu:

Script logon klasik dipakai untuk menyambungkan drive jaringan. Contoh script PowerShell:

New-PSDrive -Name "P" -PSProvider FileSystem -Root "\\fileserver\Proyek" -Persist -Scope Global

Perhatian: script logon menambah waktu login dan dijalankan dengan konteks user. Cmdlet New-PSDrive pada contoh di atas memetakan drive secara persisten agar tersambung kembali setelah reboot. Ganti script dengan Group Policy Preferences bila pengaturan yang sama bisa dilakukan tanpa script — preferensi lebih cepat dan lebih mudah di-debug.

#Drive Mapping

Pemetaan drive jaringan kini lebih baik dilakukan lewat Group Policy Preferences > Drive Maps, bukan script logon:

• Bisa di-target ke user tertentu dengan Item-Level Targeting.
• Opsi Reconnect at logon membuat drive muncul kembali tiap login.
• Lebih cepat dan lebih terbaca daripada script.

Pola yang umum: drive P untuk folder proyek bersama, drive H untuk home directory pribadi tiap user. Beri nama yang jelas dan konsisten agar user tidak bingung.

#Printer Deployment

Printer bisa di-deploy lewat GPO dengan dua cara: Deployed Printers di Computer/User Configuration (terkunci, dikelola sistem), atau Preferences > Printers (default yang bisa diubah user). Item-Level Targeting memungkinkan printer kantor Surabaya hanya diterapkan ke user di OU Surabaya. Ini menghilangkan pekerjaan manual "pasang printer" yang membebani helpdesk.

#Loopback Processing

Loopback processing adalah mode khusus yang membuat setting User Configuration diterapkan berdasarkan komputer, bukan berdasarkan user. Dua mode:

• Merge — user settings dari GPO user tetap berlaku, ditambah yang dari komputer.
• Replace — setting user dari GPO yang di-loopback menggantikan setting dari GPO user.

Kapan dipakai? Skenario kiosk: komputer di lobi harus menampilkan menu terbatas apa pun akun yang login. Tanpa loopback, setiap user membawa settingnya sendiri; dengan loopback replace, komputer "memaksa" setting-nya. Aktifkan lewat Computer Configuration > Administrative Templates > System > Group Policy > User Group Policy loopback processing mode.

#Penutup

Episode 10 ini membekali kalian setting-seting yang paling sering dipakai: security settings dengan password dan account lockout policy, audit policy yang merekam jejak, user rights dan security options, deployment software model assigned dan published, folder redirection yang dibandingkan dengan roaming profile, script di empat titik siklus hidup, drive mapping lewat preferences, deployment printer, dan loopback processing untuk skenario khusus.

Inti yang harus dibawa pulang:

• Password policy ada di Computer Configuration karena dijalankan DC.
• Audit tanpa pembacaan rutin tidak berguna.
• Preferences (dengan item-level targeting) lebih ringan daripada script.
• Loopback processing untuk skenario kiosk dan komputer bersama.

Semua pengaturan keamanan di episode ini — password, lockout, audit — sebenarnya punya keterbatasan: mereka berlaku seragam untuk seluruh domain. Di episode 11 kita membahas solusinya: Fine-Grained Password Policies, yang memungkinkan kebijakan password berbeda untuk kelompok pengguna yang berbeda. Sampai jumpa di episode 11!