Belajar Active Directory - Active Directory Migration

#Pendahuluan

Di episode 24 kita menyetel performa: baseline, sizing hardware, optimasi query LDAP, dan defragmentasi database. Setelah DC kalian berjalan cepat, muncul pertanyaan yang lebih strategis: bagaimana memindahkan seluruh identitas organisasi ke struktur baru — domain baru, forest baru, atau hasil konsolidasi — tanpa menghentikan bisnis?

Migrasi AD adalah salah satu operasi paling berisiko di dunia identitas. AD adalah sumber autentikasi: jika migrasi gagal di tengah jalan, seluruh user tidak bisa logon, aplikasi kehilangan sesi, dan manajemen panik. Kuncinya bukan keberanian, melainkan perencanaan, alat yang tepat, dan jalan mundur yang selalu siap. Mari kita bedah prosesnya dari awal hingga akhir.

#Mengapa Migrasi AD Berisiko

Akar masalahnya sederhana: sumber daya di Windows disecure oleh SID, dan SID itu melekat pada domain. Saat user pindah ke domain baru, ia mendapat SID baru — dan semua ACL yang menyebut SID lama menjadi tidak berlaku. Di sinilah risiko:

• ACL file dan folder menyimpan SID lama; user pindah domain tapi kehilangan akses.
• GPO, skrip, dan service account sering menyebut nama domain atau SID secara eksplisit.
• Aplikasi legacy bisa melakukan hardcode nama domain atau UPN.

Migrasi yang baik menjawab tiga pertanyaan: bagaimana memindahkan objek, bagaimana mempertahankan akses, dan bagaimana membatalkan jika terjadi kesalahan.

#Tahap 0: Inventarisasi dan Perencanaan

Jangan memindahkan apa pun sebelum kalian tahu apa yang dimiliki. Inventarisasi harus mencakup user, komputer, group, OU, GPO, trust, service account beserta SPN-nya, dan Exchange bila ada. PowerShell adalah alat inventarisasi tercepat:

Get-ADUser -Filter * -Properties Enabled, LastLogonDate, Department |
    Select-Object SamAccountName, UserPrincipalName, Enabled, LastLogonDate, Department |
    Export-Csv -Path "C:\Data\inventory-users.csv" -NoTypeInformation -Encoding UTF8
 
Get-ADComputer -Filter * -Properties OperatingSystem, LastLogonDate |
    Select-Object Name, OperatingSystem, LastLogonDate |
    Export-Csv -Path "C:\Data\inventory-computers.csv" -NoTypeInformation -Encoding UTF8

Dokumentasikan juga dependensi: server mana yang memakai akun mana, aplikasi mana yang butuh integrasi AD, dan siapa pemilik bisnis dari tiap kelompok user. Pemilik bisnis inilah yang nantinya memvalidasi hasil migrasi.

#Pilih Strategi: Upgrade, Intra-Forest, atau Inter-Forest

Strategi ditentukan oleh kondisi awal dan tujuan akhir:

• In-place upgrade. Domain yang sama di-upgrade ke fungsional level baru. Paling sederhana, tidak ada SID baru, tapi tidak menyelesaikan masalah desain yang sudah salah.
• Intra-forest migration. Memindahkan objek antar-domain di dalam forest yang sama (restructure). Trust parent-child sudah otomatis; SID History opsional untuk menjaga akses.
• Inter-forest migration. Memindahkan antar-forest (konsolidasi forest, akuisisi, integrasi dua perusahaan). Membutuhkan trust eksternal atau forest trust, ADMT, SID History, dan migrasi password.

Untuk restrukturisasi intra-forest sederhana, Move-ADObject sudah cukup untuk memindahkan user dan komputer antar-OU atau antar-domain.

#Mempersiapkan DNS dan Trust

#DNS Dulu, Baru Trust

Migrasi antar-domain membutuhkan resolusi nama dua arah. Tambahkan conditional forwarder agar DC lama bisa me-resolve nama domain tujuan (dan sebaliknya):

dnscmd dcold /ZoneAdd corpnew.local /Forwarder 10.0.2.20

#Membangun Trust

Setelah DNS beres, buat trust. Untuk inter-forest digunakan forest trust; untuk domain tunggal cukup external trust. Perhatikan arah trust: trust satu arah cukup untuk membaca data sumber, trust dua arah memudahkan autentikasi timbal balik. Pilihan selective authentication mencegah user domain lain menyalahtafsirkan hak mereka:

New-ADTrust -Name "corpnew.local" `
    -TargetForest "corpnew.local" `
    -Direction Bidirectional `
    -TrustType Forest `
    -UsesAESEncryption $true

#ADMT: Alat Utama Migrasi

Active Directory Migration Tool (ADMT) 3.2 adalah alat Microsoft untuk migrasi antar-domain dan antar-forest. Ia menangani user, group, computer, service account, dan Exchange sekaligus mempertahankan properti akun. Tiga konsep yang wajib kalian pahami:

• Agent di DC. ADMT butuh agent yang dipasang di DC sumber dan tujuan untuk operasi tertentu.
• Password migration. Migrasi password tidak pernah menyimpan plaintext. Untuk inter-forest digunakan Password Export Server (PES) yang memindahkan hash satu arah dari domain sumber.
• SID History. Fitur paling penting sekaligus paling berisiko.

#SID History: Kunci Akses, Sekaligus Risiko

Saat user dimigrasi, ADMT menulis SID lama ke atribut sIDHistory akun baru. Akibatnya, semua ACL yang menyebut SID lama tetap berlaku — user seolah tidak pindah. Inilah mengapa migrasi bisa berjalan mulus tanpa mengubah satu pun izin file.

Tapi sIDHistory adalah pedang bermata dua: jika domain sumber diretas, SID dari domain sumber bisa disalahgunakan untuk mengakses sumber daya domain tujuan. Selalu aktifkan SID filtering pada trust, dan bersihkan sIDHistory setelah masa verifikasi selesai. Verifikasi keanggotaan di akun baru:

Get-ADUser -Identity "jsantoso" -Properties SIDHistory |
    Select-Object SamAccountName, SIDHistory

#Migrasi Profil dan User State

Memindahkan akun tidak berarti memindahkan isi akun. Profil — dokumen, desktop, pengaturan aplikasi, dan riwayat browser — harus dipindahkan terpisah. Alatnya adalah User State Migration Tool (USMT): scanstate menangkap, loadstate memulihkan:

scanstate \\filesrv\migration\jsantoso /i:MigApp.xml /i:MigUser.xml /o
loadstate \\filesrv\migration\jsantoso /i:MigApp.xml /i:MigUser.xml /lac /lae

Parameter /lac dan /lae membuat akun lokal dan mengaktifkannya — berguna saat memulihkan profil sebelum user memakai akun domain baru. Untuk organisasi besar, USMT bisa dijalankan tanpa interaksi user lewat skrip dan GPO.

#Coexistence, Cutover, dan Rollback

#Periode Coexistence

Kedua lingkungan berjalan berdampingan selama periode tertentu. SID History dan trust menjaga akses lintas-domain; email diarahkan sementara; GPO dibekukan agar tidak mengubah perilaku di tengah migrasi. Coexistence memberi waktu uji tanpa tekanan cutover instan.

#Phased Migration vs Big Bang

• Phased migration memindahkan user secara berkelompok: pilot kecil dulu, verifikasi, lalu gelombang berikutnya. Risiko terkendali, umpan balik didapat lebih awal.
• Big bang memindahkan semua sekaligus. Hanya layak untuk lingkungan kecil; satu kesalahan berarti seluruh organisasi lumpuh bersamaan.

#Rencana Rollback

Jangan pernah mulai migrasi tanpa jalan mundur:

1. Simpan cadangan penuh database dan SYSVOL domain sumber (episode 17).
2. Pertahankan trust dan SID History selama periode verifikasi.
3. Tetapkan trigger rollback tertulis: misalnya "lebih dari 10% pilot gagal logon" berarti mundur.
4. Jangan decomission domain lama sampai verifikasi selesai dan manajemen menandatangani hasil.

Cutover adalah momen resmi berpindah: DNS diarahkan, logon diarahkan ke domain baru, dan komunikasi diumumkan ke user.

#Pasca-Migrasi: Pembersihan dan Verifikasi

Setelah cutover, pekerjaan belum selesai. Verifikasi dulu, baru bersihkan:

• Uji logon, akses ke file share, GPO, dan aplikasi dari akun baru.
• Pastikan replikasi sehat dan tidak ada error dengan repadmin /replsummary.
• Setelah semua akses terverifikasi, bersihkan SID History untuk menutup celah keamanan:

Get-ADUser -Filter * -Properties SIDHistory |
    Where-Object { $_.SIDHistory } |
    Set-ADUser -Remove @{ SIDHistory = $_.SIDHistory }

Terakhir, hapus trust yang tidak diperlukan dan decomission domain lama dengan metadata cleanup yang bersih (episode 6) — pastikan tidak ada referensi tersisa.

#Penutup

Di episode 25 ini kalian mempelajari anatomi migrasi AD: mengapa SID membuat migrasi berisiko, inventarisasi sebelum bergerak, tiga strategi (upgrade, intra-forest, inter-forest), persiapan DNS dan trust, penggunaan ADMT dengan SID History dan migrasi password, migrasi profil dengan USMT, periode coexistence, cutover dengan rollback, hingga pembersihan pasca-migrasi.

Poin kunci:

• SID menentukan akses; SID History menjaga akses, tapi wajib dibersihkan.
• DNS harus disiapkan sebelum trust; trust sebelum migrasi.
• Pilot dulu, gelombang berikutnya — jangan big bang untuk lingkungan besar.
• Simpan cadangan dan trigger rollback; jangan decomission sebelum verifikasi tuntas.

Setelah lingkungan baru berdiri, satu pertanyaan harus dijawab dengan percaya diri: apa yang terjadi jika semuanya runtuh? Di episode 26 selanjutnya kita bedah Active Directory Disaster Recovery: RTO dan RPO, backup system state, pemulihan DC tunggal hingga forest, dan menguji rencana sebelum bencana datang. Sampai jumpa!