Belajar Active Directory - Installing Active Directory Domain Services

#Pendahuluan

Di episode 4, kalian memahami betapa kritisnya DNS bagi AD. Sekarang semua teori itu dibuktikan: saatnya menginstal Active Directory Domain Services (AD DS) dan mempromosikan server pertama menjadi domain controller. Di sinilah domain ad.example.com yang kalian rencanakan di episode 0 benar-benar lahir.

Prinsip yang harus diingat: instalasi AD DS adalah dua langkah terpisah. Pertama, menginstal role AD DS (menyalin biner layanan). Kedua, promosi server menjadi domain controller (mengonfigurasi dan menjalankan layanan). Kedua langkah ini bisa digabung lewat wizard, tapi memahami pemisahannya akan menolong saat troubleshooting.

#Prerequisites Instalasi

Sebelum menekan tombol instalasi, pastikan checklist ini terpenuhi:

Windows Server terinstall — Server 2016, 2019, atau 2022, dengan lisensi yang valid.
IP address statis — domain controller tidak boleh memakai DHCP untuk IP-nya sendiri.
DNS terkonfigurasi dengan benar — untuk promosi pertama, server menunjuk ke dirinya sendiri sebagai DNS, atau ke DNS server yang sudah berdiri untuk penambahan DC berikutnya.
NetBIOS name ditentukan — nama single-label untuk kompatibilitas, misalnya AD, dihasilkan otomatis dari nama domain.
Hak administrator — proses ini butuh credential domain administrator atau lokal.
Waktu disinkronkan — Kerberos sangat sensitif terhadap selisih jam; samakan dengan sumber waktu yang tepercaya.
Server bukan anggota domain lain — untuk DC pertama di forest, server harus standalone.

Melanggar salah satu poin di atas hampir pasti menghasilkan kegagalan yang membingungkan di tengah proses — terutama IP statis dan DNS.

#Metode Instalasi

Instalasi AD DS bisa dilakukan tiga cara:

Server Manager GUI: jalan Add Roles and Features, pilih Active Directory Domain Services, lalu klik "Promote this server to a domain controller".
PowerShell: kombinasi Install-WindowsFeature dan Install-ADDSForest — cara yang bisa diotomasi dan direplikasi.
Server Core: instalasi tanpa GUI penuh; semua konfigurasi lewat PowerShell.

Episode ini fokus pada jalur PowerShell karena otomasi, konsisten, dan memaksa kalian memahami parameter yang dijalankan. Alur GUI dan PowerShell mengarah ke hasil yang sama.

#Instalasi Role AD DS

Buka PowerShell sebagai administrator dan instal role beserta management tools:

Instalasi role AD DS dan management tools

Install-WindowsFeature -Name AD-Domain-Services -IncludeManagementTools

Parameter -IncludeManagementTools penting untuk lab: ia menginstal konsol seperti ADUC dan DNS Manager di server yang sama. Untuk memastikan role benar-benar terinstall, periksa statusnya:

Verifikasi role AD DS terinstall

Get-WindowsFeature AD-Domain-Services

Jika baris Install State bernilai Installed, biner role sudah siap. Server belum menjadi domain controller — itulah tugas langkah berikutnya.

#Promosi ke Domain Controller Pertama

Promosi adalah momen menentukan: server akan memegang domain baru sekaligus forest baru, membentuk ad.example.com lengkap dengan DNS. Perintah yang dipakai adalah Install-ADDSForest, dengan parameter kunci:

DomainName: nama domain DNS, misalnya ad.example.com.
DomainNetbiosName: nama NetBIOS, misalnya AD.
ForestMode / DomainMode: functional level; WinThreshold berarti Windows Server 2016 level (cocok untuk 2016+ dan mempertahankan fitur modern).
InstallDns: menginstal dan mengonfigurasi DNS server bersama promosi.
SafeModeAdministratorPassword: password DSRM (Directory Services Restore Mode), kredensial pemulihan yang wajib disimpan aman.

Promosi menjadi domain controller pertama di forest baru

Install-ADDSForest `
    -DomainName "ad.example.com" `
    -DomainNetbiosName "AD" `
    -ForestMode "WinThreshold" `
    -DomainMode "WinThreshold" `
    -InstallDns `
    -SafeModeAdministratorPassword (ConvertTo-SecureString "Str0ng!DsrmPass" -AsPlainText -Force) `
    -Force

Perhatikan bahwa DNS diarahkan ke server sendiri (episode 4): saat promosi, server akan membuat zone ad.example.com dan zone _msdcs beserta seluruh SRV records. Setelah perintah selesai, server otomatis restart menjadi domain controller pertama di forest.

Warning

Simpan password DSRM di tempat yang aman dan terdokumentasi. Tanpa password DSRM, kalian tidak bisa masuk ke mode pemulihan direktori saat AD bermasalah — dan itu sering terjadi justru saat kalian paling membutuhkannya.

Secara default, database AD dan log tersimpan di C:\Windows\NTDS, dan folder berbagi kebijakan di C:\Windows\SYSVOL. Lokasi ini bisa diubah saat promosi jika server memakai disk terpisah — praktik yang umum di lingkungan produksi besar.

#DCPromo: Dulu vs Sekarang

Dulu, promosi DC memakai tool bernama DCPROMO.EXE — sebuah wizard terpisah yang harus dijalankan, dan di versi lebih lama mengharuskan file jawaban untuk otomasi. Pendekatan ini dipisahkan dari instalasi role dan terasa kaku.

Sekarang, Microsoft mengintegrasikannya: instalasi role AD DS lewat Server Manager atau PowerShell, lalu promosi lewat wizard "Promote this server to a domain controller" atau Install-ADDS* cmdlets. Satu konsistensi penting: GUI dan PowerShell sekarang menjalankan fungsi yang sama — wizard GUI sebenarnya memanggil cmdlet di belakang layar. Memahami PowerShell berarti memahami apa yang wizard lakukan.

#Tugas Setelah Instalasi

Domain sudah berdiri, tapi pekerjaan belum selesai. Beberapa tugas wajib segera setelah promosi:

Verifikasi record DNS: pastikan zone dan SRV records terdaftar dengan benar di DNS Manager.
Cek replikasi: untuk forest baru belum ada partner replikasi, tapi pastikan tidak ada error di event log Directory Service.
Konfigurasi sites: pindahkan subnet ke site yang tepat jika lab multi-lokasi (episode 3).
Sinkronisasi waktu: atur source waktu yang benar agar Kerberos stabil.
Backup system state: backup pertama AD dilakukan segera setelah DC berdiri — sebelum perubahan besar berikutnya.

#Verifikasi Instalasi

Verifikasi menyeluruh memakai dcdiag, yang menjalankan puluhan tes terhadap kesehatan DC:

Diagnostik menyeluruh domain controller

dcdiag /c

Periksa output untuk baris yang menandai kegagalan. Untuk memastikan pemegang FSMO roles berada di DC yang benar:

Menampilkan pemegang FSMO roles

netdom query fsmo

Dan untuk masuk ke utilitas database AD (ntdsutil), jalankan perintah berikut lalu eksplorasi subperintahnya:

Masuk ke utilitas ntdsutil

ntdsutil

Ketiga tool ini — dcdiag, netdom query fsmo, dan ntdsutil — akan menjadi teman setia kalian di episode-episode troubleshooting berikutnya.

#Penutup

Di episode 5 ini kalian telah membangun domain controller pertama: memenuhi prerequisites, menginstal role AD DS, mempromosikan server menjadi DC pertama di forest dengan Install-ADDSForest, memahami perbedaan DCPromo lama dan baru, serta memverifikasi instalasi dengan dcdiag, netdom, dan ntdsutil.

Inti yang harus dibawa pulang:

Instalasi AD DS adalah dua langkah: instalasi role, lalu promosi.
Prerequisites paling sering dilanggar: IP statis dan DNS.
Install-ADDSForest menciptakan domain, forest, dan DNS sekaligus.
DSRM password harus disimpan aman; verifikasi wajib dengan dcdiag.

Di episode 6 selanjutnya, kita akan menambahkan domain controller kedua — kunci fault tolerance dan beban kerja — mulai dari alasan kenapa satu DC tidak pernah cukup, proses promosi DC tambahan yang join ke domain yang ada, hingga verifikasi replikasi dengan repadmin. Domain pertama kalian sudah lahir; sekarang waktunya membuatnya tangguh!