Belajar Active Directory - Active Directory Architecture & Logical Structure
Mengurai logical structure Active Directory: forest, domain tree, domain, organizational unit, object, dan trust relationship, serta peran schema, global catalog, dan FSMO roles dalam membentuk batas keamanan dan administrasi directory services.
#Pendahuluan
Di episode 1, kalian memahami mengapa Active Directory ada dan masalah yang dipecahkannya. Sekarang saatnya membongkar arsitektur logisnya — cetak biru yang menentukan bagaimana AD disusun, di mana batas keamanan berada, dan bagaimana objek-objek diorganisasi.
Analoginya: bayangkan sebuah negara. Ada negara sebagai batas tertinggi, provinsi dengan pemerintahan otonom, kota dengan administrasi sehari-hari, dan kecamatan/desa sebagai unit organisasi. Setiap level punya fungsi dan kewenangannya sendiri. Dalam AD, hierarki itu bernama forest, domain, dan organizational unit.
Penting dipahami sejak awal: struktur logis terpisah dari infrastruktur fisik (jaringan dan server). Kalian bisa mendesain struktur logis yang rapi di atas jaringan yang berantakan — topik fisik baru dibahas di episode 3.
#Forest
Forest adalah kontainer level tertinggi dalam AD dan batas keamanan utama. Semua domain yang berbagi satu forest berbagi tiga hal:
- Schema yang sama: definisi lengkap tipe objek dan atribut yang boleh ada di direktori.
- Global Catalog yang sama: indeks parsial semua objek di forest.
- Kontainer Configuration yang sama: informasi topologi, situs, dan layanan.
Forest juga punya forest functional level — versi AD yang menentukan fitur yang tersedia di seluruh forest. Kebalikannya penting diingat: jika dua forest tidak saling percaya, objek di satu forest tidak otomatis diakui di forest lain. Ini membuat forest menjadi pagar keamanan: masalah di satu forest tidak menjalar ke forest lain.
#Domain Tree
Domain tree adalah kumpulan domain yang tersusun hierarkis dan berbagi namespace yang bersambung (contiguous). Contohnya corp.example.com sebagai parent dengan jakarta.corp.example.com sebagai child. Hubungan ini otomatis membentuk transitive trust: jika domain A percaya pada B, dan B percaya pada C, maka A otomatis percaya pada C.
Kenapa memakai tree? Karena struktur organisasi yang terdesentralisasi — misalnya anak perusahaan dengan unit bisnis berbeda — tetap ingin berbagi forest yang sama. Tree memungkinkan domain tumbuh secara hierarkis tanpa merombak namespace.
#Domain
Domain adalah unit administrasi, replikasi, dan kebijakan keamanan:
- Batas administrasi: administrator domain hanya mengelola domainnya, kecuali didelegasikan.
- Batas replikasi: semua domain controller dalam satu domain menyalin database yang sama di antara mereka; antar domain, yang direplikasi hanya sebagian data.
- Batas kebijakan keamanan: kebijakan password dan account lockout berlaku per domain.
Nama domain mengikuti DNS, misalnya ad.example.com, dan punya domain functional level sendiri. Aturan praktis yang sering dipakai: mulai dengan satu domain, dan pecah menjadi beberapa domain hanya jika ada kebutuhan nyata — misalnya kebijakan keamanan yang berbeda tegas atau isolasi replikasi. Setiap domain tambahan berarti menambah overhead administrasi.
#Organizational Units (OU)
Organizational Unit (OU) adalah kontainer dalam domain untuk menampung objek — user, group, komputer, bahkan OU lain. Bedanya dari group: OU adalah kontainer struktural (objek hidup di dalamnya), sedangkan group adalah kumpulan referensi untuk pemberian hak akses.
Dua fungsi utama OU:
- Penerapan Group Policy: kebijakan bisa di-link ke OU sehingga berlaku untuk semua objek di dalamnya. Ini cara AD mengatur konfigurasi secara terpusat.
- Delegasi administrasi: kalian bisa memberi kewenangan terbatas kepada tim tertentu — misalnya helpdesk hanya boleh mengelola akun di OU tertentu, tanpa menjadi domain admin.
Desain OU harus mencerminkan struktur organisasi dan kebutuhan administrasi, bukan sekadar struktur bisnis. Kalian bisa membuat OU Jakarta, Bandung, lalu di dalamnya OU Users, Computers, dan Groups. Delegasi dan kebijakan nanti menempel pada struktur ini.
#Objects
Segala sesuatu yang disimpan di AD adalah object — entitas dengan atribut yang didefinisikan schema. Objek umum:
| Objek | Contoh Atribut | Fungsi |
|---|---|---|
| User | displayName, userPrincipalName, password | Identitas manusia atau service |
| Computer | dNSHostName, operatingSystem | Akun mesin yang join domain |
| Group | member, groupType | Kumpulan objek untuk hak akses |
| Printer | printShareName, location | Sumber daya cetak |
| Shared folder | UNCName | Berbagi berkas |
| Contact | mail, telephoneNumber | Representasi tanpa kredensial |
| Service account | servicePrincipalName | Identitas untuk layanan |
Setiap objek punya Distinguished Name (DN) yang unik, misalnya CN=Arman,OU=Users,DC=ad,DC=example,DC=com. DN ini adalah alamat lengkap objek dalam hierarki — kalian akan sering menemuinya saat bekerja dengan PowerShell dan LDAP.
#Trust Relationships
Trust adalah jembatan kepercayaan antara dua domain atau forest yang memungkinkan user dari satu pihak diakui di pihak lain. Berikut jenis-jenis trust:
| Jenis Trust | Cakupan | Sifat |
|---|---|---|
| Parent-child | Antar domain dalam tree | Otomatis, dua arah, transitive |
| Tree-root | Domain root dengan domain lain dalam forest | Otomatis, dua arah, transitive |
| External | Dua domain di forest berbeda | Manual, dapat searah, non-transitive |
| Forest | Dua forest | Manual, dapat transitive |
| Shortcut | Dua domain dalam forest berbeda jalur | Manual, memperpendek jalur autentikasi |
| Realm | Forest AD dengan Kerberos non-Windows | Manual, integrasi keragaman |
Trust memang berguna, tapi jangan dianggap gratis: setiap trust memperluas permukaan kepercayaan. Prinsipnya, buat trust hanya jika kebutuhan bisnis benar-benar memintanya, dan batasi arah serta transitivity-nya.
#Schema, Global Catalog, dan FSMO Roles
Tiga mekanisme yang "menghidupkan" struktur logis:
- Schema: master template yang mendefinisikan semua tipe objek dan atribut, serta rule yang mengaturnya. Schema bersifat forest-wide dan sangat sensitif — perubahan schema memengaruhi seluruh forest dan hampir tidak bisa dibatalkan.
- Global Catalog (GC): indeks parsial semua objek di seluruh forest. Fungsinya krusial untuk logon user (terutama universal group membership) dan pencarian lintas domain. Setiap forest harus punya minimal satu GC.
- FSMO Roles: lima peran "single-master" yang memastikan operasi tertentu tidak bentrok dalam arsitektur multi-master. Dua peran forest-wide (Schema Master dan Domain Naming Master) serta tiga peran domain-wide (PDC Emulator, RID Master, Infrastructure Master). Penempatan dan failover peran ini penting untuk stabilitas, dan akan dibahas detail di episode terkait.
#Logical vs Physical Structure
Seluruh materi episode ini adalah struktur logis: hasil desain yang merepresentasikan organisasi — forest, domain, OU, objek, trust. Sebaliknya, struktur fisik berkaitan dengan infrastruktur nyata: situs jaringan, subnet, dan di mana domain controller ditempatkan. Struktur logis dan fisik bisa saja berbeda total — kalian bisa punya satu domain (logis) yang tersebar di sepuluh kantor (fisik).
Pemisahan ini adalah salah satu kekuatan AD: keputusan organisasi tidak terikat pada jaringan, dan keputusan jaringan tidak mengubah struktur logis.
Saat lab sudah berdiri, kalian bisa memulai struktur logis dengan membuat OU sederhana memakai New-ADOrganizationalUnit:
New-ADOrganizationalUnit -Name "Users" -Path "DC=ad,DC=example,DC=com"
New-ADOrganizationalUnit -Name "Computers" -Path "DC=ad,DC=example,DC=com"
New-ADOrganizationalUnit -Name "Groups" -Path "DC=ad,DC=example,DC=com"#Penutup
Di episode 2 ini kalian telah menguasai peta logis AD: forest sebagai batas keamanan, domain sebagai batas administrasi dan replikasi, OU sebagai unit organisasi dan penerapan kebijakan, objek sebagai entitas yang dikelola, trust sebagai jembatan kepercayaan, serta schema, global catalog, dan FSMO roles sebagai mekanisme pendukung.
Inti yang harus dibawa pulang:
- Forest adalah batas keamanan; domain adalah batas administrasi, replikasi, dan kebijakan.
- Mulailah dengan satu domain; pecah hanya jika kebutuhan nyata.
- OU adalah tempat Group Policy dan delegasi menempel; desainlah sesuai kebutuhan administrasi.
- Struktur logis terpisah dari struktur fisik — dua hal berbeda yang saling melengkapi.
Di episode 3 selanjutnya, kita beralih ke sisi fisik: Active Directory physical structure — sites, subnets, site links, penempatan domain controller, dan bagaimana replikasi bekerja di dalam serta antar situs. Di sanalah struktur logis yang kalian desain bertemu dengan jaringan nyata!