Belajar Active Directory - Active Directory Users and Computers

#Pendahuluan

Setelah episode 6 memastikan domain kalian punya lebih dari satu DC, kini saatnya mengisi direktori dengan objek yang sesungguhnya: user, group, dan Organizational Unit (OU). Di episode inilah AD mulai terasa nyata — karena seluruh pekerjaan harian admin berputar di sekitar objek-objek ini.

Episode 7 ini berfokus pada konsol Active Directory Users and Computers (ADUC): cara membuka dan menavigasinya, membuat user beserta propertinya, memahami User Account Control flags dan logon hours, membedakan security group dan distribution group, serta merancang struktur OU. Kita juga akan mulai mengenal pasangan PowerShell-nya — New-ADUser, New-ADGroup, dan Add-ADGroupMember — sebagai jembatan menuju episode 8.

#Mengenal Konsol ADUC

Active Directory Users and Computers adalah snap-in MMC yang menjadi wajah paling klasik administrasi AD. Ia dapat ditemukan setelah RSAT terpasang, dengan mengetik:

dsa.msc

Di panel kiri kalian melihat domain ad.example.com dengan folder bawaan seperti Users, Computers, Domain Controllers, dan Builtin. Folder bawaan ini jangan diisi sembarangan — praktik terbaik menempatkan objek buatan sendiri di dalam OU yang kalian rancang. Alasannya: folder bawaan tidak bisa di-delegate dan tidak sefleksibel OU dalam hal target Group Policy.

#Anatomi Akun User

Sebuah akun user punya beberapa "nama" yang sering membingungkan pemula:

UPN dan sAMAccountName bisa berbeda. Aturan praktis: gunakan format yang konsisten, misalnya nama.depan.nama.belakang, dan terapkan ke seluruh organisasi. Konsistensi nama memudahkan pencarian, scripting, dan audit di kemudian hari.

#Membuat User di ADUC

Secara GUI: klik kanan pada OU target > New > User, lalu isi nama dan login, set password, dan klik Finish. Tapi karena kalian calon admin yang efisien, mari langsung kenali versi PowerShell-nya:

New-ADUser `
    -Name "Budi Santoso" `
    -GivenName "Budi" `
    -Surname "Santoso" `
    -SamAccountName "budi.santoso" `
    -UserPrincipalName "budi.santoso@ad.example.com" `
    -Path "OU=Karyawan,DC=ad,DC=example,DC=com" `
    -AccountPassword (ConvertTo-SecureString "P@ssw0rd" -AsPlainText -Force) `
    -Enabled $true

Perhatikan -Enabled $true — jika dihilangkan, akun dibuat dalam keadaan disabled. Ini bukan bug, melainkan fitur keamanan: akun yang dibuat script tidak langsung aktif sampai admin menetapkan password dengan sengaja.

#Properti Akun User

Tab Account pada dialog properti user berisi pengaturan yang paling sering diutak-atik:

• Logon hours — jam berapa akun boleh login, diatur per hari dan per jam. Berguna untuk pola kerja shift.
• Logon to computers — membatasi mesin mana saja yang bisa dipakai login.
• Account expires — tanggal kedaluwarsa akun, ideal untuk kontraktor.

Tab Profile memungkinkan mengatur profile path (untuk roaming profile), home folder, dan logon script yang dijalankan setiap kali user login. Tab Member Of menunjukkan keanggotaan group — dan di sinilah kunci akses sebenarnya berada, karena hampir semua izin di Windows diberikan lewat group, bukan lewat user.

#User Account Control Flags

Setiap akun user memiliki sekumpulan flag internal yang mengontrol perilakunya. Beberapa yang wajib kalian hafal:

Dua flag yang paling sering jadi masalah: password never expires sering dipasang asal-asalan pada service account dan membuat kebijakan password tidak berarti; sedangkan account disabled adalah cara yang benar untuk "membekukan" akun karyawan keluar, bukan menghapusnya langsung. Di PowerShell, status aktif akun dikelola dengan Enable-ADAccount dan Disable-ADAccount.

#Group: Security vs Distribution

Group adalah mekanisme pemberian izin yang benar di Windows. Ada dua tipe:

Kebanyakan group yang kalian buat adalah security group. Membuatnya lewat PowerShell:

New-ADGroup -Name "IT-Pengguna" -GroupScope Global -GroupCategory Security -Path "OU=Group,DC=ad,DC=example,DC=com"
Add-ADGroupMember -Identity "IT-Pengguna" -Members "budi.santoso", "siti.rahayu"

Selain tipe, group punya scope yang menentukan jangkauannya:

Pola penamaan yang direkomendasikan Microsoft adalah AGDLP: account (user) ditempatkan ke Global group, Global group dimasukkan ke Domain Local group, lalu Domain Local group diberi izin atas resource. Ini menjaga struktur tetap rapi saat perusahaan bertumbuh. Group bawaan seperti Domain Admins dan Enterprise Admins harus dijaga seminimal mungkin anggotanya — ini topik yang akan diperdalam di episode 12.

#Organizational Units

OU adalah container yang bisa menampung user, group, komputer, bahkan OU lain. Kekuatan OU ada dua: sebagai target Group Policy dan sebagai batas delegasi administrasi. Contoh pembuatan sederhana:

New-ADOrganizationalUnit -Name "Karyawan" -Path "DC=ad,DC=example,DC=com" -ProtectedFromAccidentalDeletion $true

• Hierarki bermakna — rancang OU berdasarkan struktur kerja (misalnya per departemen), bukan berdasarkan nama orang.
• Delegasi — admin helpdesk bisa diberi hak reset password hanya pada satu OU lewat Delegation of Control Wizard.
• Proteksi dari penghapusan — aktifkan Protect object from accidental deletion pada OU penting; tanpa ini, satu klik salah bisa menghancurkan puluhan objek.

Pindahkan objek antar OU dengan drag-and-drop atau cmdlet Move-ADObject. Ingat: memindahkan objek mengubah Group Policy yang berlaku padanya — selalu periksa efeknya sebelum memindahkan objek yang sedang dipakai.

#Penutup

Episode 7 ini memberi kalian pijakan utama administrasi objek: membuka ADUC lewat dsa.msc, memahami identitas ganda user (UPN dan sAMAccountName), mengelola properti akun termasuk logon hours dan User Account Control flags, membedakan group security dan distribution beserta scope-nya, hingga merancang OU yang aman dan ter-delegasi.

Inti yang harus dibawa pulang:

• Buat objek di dalam OU yang terancang, bukan di folder bawaan.
• Izin diberikan lewat group, bukan user — kuasai pola AGDLP.
• Akun yang di-disable lebih aman daripada akun yang dihapus.
• -Enabled $true wajib diperhatikan saat New-ADUser.

Semua yang kalian lakukan manual di episode ini sebenarnya bisa diotomasi. Di episode 8 kita akan membahasnya tuntas: PowerShell untuk Active Directory — modul ActiveDirectory, Get-ADUser, Set-ADUser, hingga pembuatan ratusan user dari satu file CSV. Sampai jumpa di episode 8!