Belajar Active Directory - Adding Additional Domain Controllers

#Pendahuluan

Pada episode 5 kalian berhasil membangun domain controller (DC) pertama di forest baru — satu server yang menjadi pusat autentikasi, DNS, dan kebijakan untuk seluruh domain ad.example.com. Namun satu DC adalah single point of failure: jika server itu mati, tidak ada yang memvalidasi login, tidak ada yang menjawab kueri LDAP, dan seluruh jaringan Windows praktis lumpuh. Episode 6 ini menjawab masalah itu dengan menambah DC tambahan sehingga Active Directory menjadi tangguh.

Di episode ini kalian akan belajar: mengapa multiple DC itu wajib, bagaimana mempromosikan server kedua dengan Install-WindowsFeature dan Install-ADDSDomainController, peran global catalog, konfigurasi DNS setelah penambahan DC, verifikasi replikasi dengan dcdiag dan repadmin, strategi penempatan DC, hingga cara menurunkan DC dengan bersih.

#Mengapa Satu DC Tidak Cukup

#Fault Tolerance

Bayangkan sebuah pesawat bermesin tunggal. Mesin itu bisa saja super andal — tapi begitu gagal di tengah penerbangan, tidak ada cadangan. Satu DC persis seperti itu: seluruh domain bergantung pada satu server. Dengan menambah DC kedua, koneksi yang gagal ke satu server akan otomatis dialihkan ke DC lain. Autentikasi tetap berjalan meskipun salah satu DC sedang maintenance atau mogok.

#Load Distribution

Semakin banyak pengguna, semakin berat beban autentikasi dan kueri direktori. Satu DC yang melayani ribuan user akan cepat panas: CPU penuh, LDAP lambat, login mengantre. Dengan beberapa DC, beban dibagi — sebagian login ditangani DC pertama, sebagian lagi oleh DC kedua. Hasilnya latensi login turun dan satu server tidak menjadi kemacetan.

#Geographic Distribution

Jika perusahaan punya kantor di Jakarta dan Surabaya, user di Surabaya tidak seharusnya melakukan autentikasi melewati jaringan WAN ke Jakarta setiap kali login. Dengan menempatkan DC di setiap situs, pengguna dilayani oleh DC terdekat. Ini bukan soal kenyamanan belaka — ini soal kecepatan, keandalan, dan kepatuhan terhadap SLA.

#Recovery yang Cepat

DC bukan pengganti backup, tapi DC adalah cadangan hidup. Saat satu DC rusak permanen, DC lain tetap memegang salinan data yang sama dan user tidak merasakan apa pun. Replikasi terjadi hampir real-time, sehingga kerugian data maksimal hanya beberapa menit — jauh lebih cepat daripada restore dari backup.

#Persiapan Sebelum Promosi

Sebelum server kedua di-promote, pastikan persiapan berikut:

• Static IP address — DC tidak boleh memakai DHCP; alamat harus tetap.
• DNS mengarah ke DC yang ada — server baru harus bisa menemukan DC melalui SRV records. Arahkan DNS server-nya ke DC pertama (atau gunakan conditional forwarder), bukan ke router atau DNS publik.
• Sinkronisasi waktu — gunakan sumber NTP yang sama agar Kerberos tidak menolak karena clock skew.
• Kredensial administrator domain — proses promosi membutuhkan hak Domain Admins.

Tanpa persiapan ini, promosi sering gagal dengan error yang membingungkan seperti a domain controller could not be located — yang sebenarnya berakar pada DNS yang salah arah.

#Instalasi Role AD DS

Langkah pertama adalah memasang role Active Directory Domain Services di server baru. Jalankan di sesi PowerShell administrator:

Install-WindowsFeature AD-Domain-Services -IncludeManagementTools

-IncludeManagementTools ikut memasang konsol seperti ADUC dan DNS Manager yang akan kalian pakai di episode-episode berikutnya. Setelah role terpasang, server masih berupa member server biasa — belum menjadi DC. Transformasi itu terjadi pada tahap promosi.

#Promosi Menjadi Domain Controller

Promosi ke DC tambahan dilakukan dengan cmdlet Install-ADDSDomainController. Bedanya dengan episode 5, kali ini kita tidak membuat forest baru, melainkan bergabung ke domain yang sudah ada:

$password = ConvertTo-SecureString -String "P@ssw0rd" -AsPlainText -Force
 
Install-ADDSDomainController `
    -DomainName "ad.example.com" `
    -SiteName "Jakarta-Site" `
    -InstallDns:$true `
    -GlobalCatalog:$true `
    -Credential (Get-Credential) `
    -SafeModeAdministratorPassword $password `
    -NoRebootOnCompletion

Penjelasan parameter penting:

• -DomainName — nama domain tujuan; server akan bergabung ke domain ini.
• -SiteName — situs AD tempat DC ini berada; memengaruhi replikasi dan penempatan klien (episode 3).
• -InstallDns:$true — memasang DNS dan membuat zona AD-integrated (disarankan selalu diaktifkan).
• -GlobalCatalog:$true — menjadikan DC ini GC server (dibahas di bawah).
• -SafeModeAdministratorPassword — password DSRM, wajib untuk perbaikan sistem.

Jika kalian lebih nyaman memakai GUI, buka Server Manager > Add roles and features, pilih AD DS, lalu pada notifikasi pilih Promote this server to a domain controller. Di wizard, pilih Add a domain controller to an existing domain dan isi kredensial serta opsi yang sama. GUI dan PowerShell menghasilkan konfigurasi yang identik — PowerShell hanya lebih cepat untuk diulang dan diautomasi.

Setelah server reboot, ia akan menarik salinan database AD melalui replikasi dari DC yang ada. Jangan khawatir bila prosesnya makan waktu beberapa menit — itu normal untuk salinan pertama.

#Global Catalog

Global Catalog (GC) adalah server yang menyimpan salinan sebagian (partial attribute set) dari semua objek di seluruh forest. GC menjawab dua kebutuhan penting:

• Login dengan UPN — misalnya budi.santoso@ad.example.com lintas domain membutuhkan GC.
• Keanggotaan universal group — menentukan akses pengguna di seluruh domain.

DC pertama otomatis menjadi GC. Setiap DC tambahan juga dijadikan GC secara default pada wizard promosi — dan ini pilihan yang tepat untuk skala kecil-menengah. Dengan GC di banyak DC, kueri lintas-domain tidak perlu melompat jauh; setiap situs punya GC lokal. Kecuali kalian punya alasan kuat (misalnya ratusan DC), biarkan semua DC menjadi GC.

#DNS Setelah Menambah DC

Begitu DC baru aktif, ia mendaftarkan SRV records-nya sendiri di zona AD-integrated — klien dan DC lain akan menemukannya secara otomatis lewat proses domain controller locator. Namun untuk resolusi DNS di luar zona AD (misalnya nama publik), setiap DC membutuhkan forwarder. Jika tidak diatur, DC akan mencoba memakai root hints dan kueri bisa lambat atau gagal di lingkungan terisolasi:

Add-DnsServerForwarder -IPAddress 8.8.8.8 -PassThru
Get-DnsServerForwarder

Pastikan konfigurasi forwarder konsisten di semua DC — misalnya lewat script atau alat manajemen konfigurasi — agar perilaku resolusi tidak berbeda antar server.

#Strategi Penempatan DC

Beberapa prinsip penempatan DC yang umum di produksi:

• Minimal satu DC per situs — setiap lokasi fisik butuh DC lokal agar autentikasi tidak melewati WAN.
• Situs hub dengan multiple DC — kantor pusat menampung 2 DC atau lebih untuk redundancy dan load.
• RODC untuk kantor cabang — cabang kecil tanpa admin lokal cukup memakai Read-Only Domain Controller, yang tidak menyimpan kredensial sensitif. Detailnya akan dibahas di episode 19.
• GC di dekat pengguna — tempatkan GC di situs yang membutuhkan kueri lintas-domain cepat.

Ingat: DC adalah aset paling sensitif di jaringan. Semakin sedikit tempat DC berada, semakin mudah mengamankannya. Jangan menambah DC tanpa kebutuhan nyata.

#Verifikasi Replikasi dan Kesehatan

Setelah DC baru online, jangan langsung percaya begitu saja — verifikasi dengan alat baku:

dcdiag /c

dcdiag /c menjalankan serangkaian tes: koneksi, DNS, replikasi, layanan, dan lainnya. Semua tes harus berstatus passed. Untuk replikasi, repadmin memberikan pandangan yang lebih spesifik:

repadmin /replsummary
repadmin /showrepl

repadmin /replsummary menampilkan ringkasan replikasi semua DC terhadap satu sama lain — angka largest delta yang terus membesar menandakan replikasi bermasalah. repadmin /showrepl menunjukkan partner replikasi tiap DC dan kapan terakhir berhasil sinkron. Jalankan keduanya secara rutin — replikasi yang diam-diam gagal adalah salah satu biang kerok masalah AD yang paling sering terlambat disadari.

#Menurunkan DC dengan Bersih

Ada kalanya sebuah DC harus dipensiunkan. Proses yang benar adalah graceful demotion — bukan sekadar mematikan mesin:

Uninstall-ADDSDomainController -RemoveApplicationPartitions -SafeModeAdministratorPassword $password

Demotion yang benar akan: memindahkan peran FSMO yang masih dipegang DC ini, menghapus metadata-nya dari AD, dan membersihkan DNS. Jika DC rusak parah dan tidak bisa boot, kalian harus melakukan metadata cleanup manual — menghapus sisa objek DC dari AD dengan ntdsutil atau Remove-ADDomainController. Pastikan juga tidak ada peran FSMO yang tertinggal sebelum menonaktifkan DC terakhir di domain. Ini bagian dari disiplin yang akan menyelamatkan kalian dari "zombie DC" yang menyusahkan di kemudian hari.

#Penutup

Pada episode 6 ini kalian belajar bahwa multiple DC bukan sekadar kemewahan, melainkan kebutuhan: fault tolerance, distribusi beban, layanan geografis, dan recovery cepat. Kalian telah mempromosikan DC tambahan dengan Install-WindowsFeature AD-Domain-Services dan Install-ADDSDomainController, memahami global catalog, mengatur DNS forwarder, memverifikasi dengan dcdiag dan repadmin, serta menurunkan DC secara bersih.

Inti yang harus dibawa pulang:

• Satu DC adalah single point of failure — minimal dua DC per domain.
• Setiap DC secara default adalah global catalog; pastikan GC dekat dengan pengguna.
• Replikasi wajib diverifikasi dengan dcdiag dan repadmin secara rutin.
• Demotion harus bersih, bukan sekadar mematikan mesin.

Kini direktori kalian sudah tangguh. Di episode 7 selanjutnya, kita mengisi direktori itu dengan objek: Active Directory Users and Computers — membuat user, group, dan OU, memahami properti akun, logon hours, dan user account control. Sampai jumpa di episode 7!