Belajar Active Directory - Group Policy Fundamentals

#Pendahuluan

Bayangkan harus mengonfigurasi ratusan komputer satu per satu: mengubah wallpaper, mengunci control panel, menerapkan password policy, memasang software. Tidak ada admin waras yang melakukannya manual. Di sinilah Group Policy menjadi alat yang paling menentukan produktivitas seorang admin Windows. Episode 9 ini adalah fondasinya: memahami apa itu GPO, bagaimana ia disimpan, bagaimana urutan pemrosesannya, dan bagaimana memecahkan masalah yang muncul.

Kita akan membahas anatomi Group Policy Object, perbedaan gpedit.msc dan GPMC, urutan penerapan LSDOU, inheritance dan blocking, link order, security filtering dan WMI filters, serta membaca hasil akhir dengan gpresult.

#Apa itu Group Policy

Group Policy adalah mekanisme Windows untuk mendorong konfigurasi terpusat ke komputer dan user dalam sebuah domain. Satu pengaturan diterapkan di satu tempat — GPO — dan menjangkau ribuan mesin. Tanpa Group Policy, setiap perubahan kebijakan harus diulang manual di setiap komputer; dengan Group Policy, perubahan cukup dilakukan sekali.

#Anatomi GPO: GPC dan GPT

Setiap GPO sebenarnya terdiri dari dua bagian yang disimpan di dua tempat berbeda:

GPC berada di partisi AD di bawah CN=Policies,CN=System, sehingga direplikasi seperti data AD lain. GPT berada di \\domain\SYSVOL\domain\Policies\GUID dan direplikasi via DFSR. Keduanya harus selalu sinkron — bila salah satu korup atau hilang, GPO dianggap rusak. Ini sebabnya korupsi SYSVOL adalah mimpi buruk bagi admin (akan dibahas di episode 22).

#gpedit vs GPMC

Dua alat ini sering tertukar oleh pemula:

gpedit.msc hanya mengedit kebijakan lokal komputer tersebut — tidak direplikasi dan tidak bisa dijadikan target dari jarak jauh. Group Policy Management Console (GPMC) adalah pusat kendali domain: membuat GPO, menautkannya ke OU, mengatur filtering, membackup, dan menghasilkan laporan. Untuk administrasi domain, GPMC adalah alat utamanya:

gpmc.msc

#Computer vs User Configuration

Setiap GPO dibagi menjadi dua cabang:

• Computer Configuration — diterapkan saat komputer menyala, tidak peduli siapa yang login. Contoh: firewall, Windows Update, password policy.
• User Configuration — diterapkan saat user login, mengikuti user di mesin mana pun. Contoh: wallpaper, drive mapping, folder redirection.

Aturan penting: setting computer hanya berlaku saat konfigurasi komputer diproses, dan setting user hanya saat konfigurasi user diproses. Setting yang logisnya "kepunyaan komputer" tetapi ditaruh di User Configuration akan berperilaku aneh — selalu pilih cabang yang tepat.

Di dalam tiap cabang ada dua jenis entri: Policies (dikelola sistem, tidak bisa diubah user, akan di-revert jika diubah manual) dan Preferences (memberikan nilai default yang masih bisa diubah user). Pembedaan ini menentukan seberapa "keras" pengaturan tersebut.

#Urutan Penerapan: LSDOU

Ini adalah konsep paling penting dalam Group Policy. GPO diterapkan dengan urutan:

1. Local — kebijakan lokal mesin
2. Site — GPO yang ditautkan ke situs
3. Domain — GPO yang ditautkan ke domain
4. OU — GPO yang ditautkan ke OU, dari yang paling atas sampai yang paling dalam

Aturan emasnya: semakin akhir diproses, semakin menang. Jika dua GPO mengatur setting yang sama, nilai dari GPO yang diproses terakhir yang berlaku. Ini berarti GPO pada OU terdalam mengalahkan GPO domain. Analoginya seperti melapisi cat: lapisan terakhir yang menentukan warna akhir dinding.

#Inheritance dan Blocking

GPO di level atas secara default diwariskan ke semua objek di bawahnya. Dua mekanisme untuk mengubah warisan ini:

• Block inheritance — dipasang di kontainer (OU) agar mengabaikan semua GPO dari atas. Perhatian: mengaktifkannya membuat OU itu "terisolasi" dari kebijakan domain seperti password policy — gunakan dengan sangat hati-hati.
• Enforced — dipasang di tautan GPO agar GPO itu tidak bisa di-block oleh anak. GPO yang di-enforce selalu menang, meskipun di bawahnya ada block inheritance.

Kombinasi keduanya mengikuti aturan: enforced menang atas block inheritance. Ini menjadi "kunci darurat" admin ketika sebuah OU sengaja memblock semua kebijakan tetapi kebijakan keamanan tertentu tetap harus berlaku.

#Link Order

Satu OU bisa memiliki banyak GPO yang ditautkan. Link order menentukan prioritas di antara mereka: GPO dengan nomor link order paling kecil (paling atas di daftar) diproses terakhir sehingga menang atas yang di bawahnya. Dalam praktiknya, urutan ini sering diacak oleh admin — dan menjadi sumber kebingungan klasik. Biasakan menata tautan GPO pada satu OU secara berurutan dan beri nama yang jelas.

#Security Filtering dan WMI Filters

Secara default, GPO diterapkan ke semua Authenticated Users yang berada di bawah kontainer tautan. Untuk membatasi siapa yang menerima GPO:

• Security filtering — batasi ke group atau user tertentu. Daftar ini bisa dikosongkan (GPO tidak berlaku untuk siapa pun) atau diisi group tertentu. Ini cara paling umum membatasi cakupan.
• WMI filters — filter berbasis kondisi mesin, misalnya hanya diterapkan pada mesin dengan Windows 11 atau RAM di atas 8 GB. WMI filter dievaluasi saat refresh — menambah beban jika dipakai berlebihan.

Contoh penggunaan: GPO Printer-Divisi-Marketing di-filter security ke group Marketing sehingga hanya anggota group itu yang mendapat kebijakan printer. Filter dan cakupan yang jelas mencegah GPO "bocor" ke objek yang tidak seharusnya.

#Membuat dan Menautkan GPO

Di GPMC, alurnya: klik kanan Group Policy Objects > New, beri nama, lalu Link an Existing GPO pada OU target. Versi PowerShell-nya satu baris:

New-GPO -Name "Kebijakan-Password-Strict" | New-GPLink -Target "OU=Karyawan,DC=ad,DC=example,DC=com"

Setelah ditautkan, edit GPO dengan klik kanan > Edit, yang membuka editor dengan dua cabang yang sama seperti gpedit — bedanya kini terpusat dan diterapkan ke seluruh cakupan.

#Menerapkan dan Memeriksa Hasil

GPO tidak berlaku instan. Klien menyegarkan kebijakan secara berkala (default 90 menit dengan jitter acak) dan pada saat login/startup. Untuk menguji lebih cepat:

gpupdate /force

Untuk melihat hasil akhir (Resultant Set of Policy) pada mesin klien:

gpresult /r
gpresult /h C:\gpresult.html

gpresult /r menampilkan ringkasan teks; gpresult /h menghasilkan laporan HTML yang bisa dibuka di browser. Jika sebuah setting "tidak berhasil", langkah pertama selalu gpresult — lihat apakah GPO yang dimaksud muncul dalam daftar yang diterapkan. Kalau tidak muncul, masalahnya di tautan, filtering, atau cakupan; kalau muncul tapi setting tidak berlaku, masalahnya di urutan GPO.

#Default Domain Policy

Saat domain dibuat, AD otomatis membuat dua GPO bawaan: Default Domain Policy dan Default Domain Controllers Policy. Default Domain Policy secara default memegang password policy dan account lockout policy domain. Aturan praktis yang disepakati industri:

• Jangan menaruh pengaturan sembarangan ke GPO bawaan ini — biarkan berfokus pada tujuannya.
• Jangan mengimpor atau menghapusnya secara sembrono; memperbaiki GPO bawaan yang rusak bisa lebih menyakitkan daripada membuat GPO baru.
• Buat GPO baru yang bernama jelas untuk kebutuhan lain, tautkan ke OU yang tepat.

#Troubleshooting Singkat

Saat GPO bermasalah, periksa secara berurutan: (1) cek gpresult /r di klien, (2) pastikan GPO di-link ke kontainer yang tepat, (3) periksa security filtering dan WMI filter, (4) periksa Event Viewer di bawah Applications and Services Logs > Microsoft > Windows > GroupPolicy. Kebanyakan "GPO tidak jalan" bukan karena GPO rusak, melainkan karena salah cakupan atau urutan.

#Penutup

Episode 9 ini membangun pemahaman fondasi Group Policy: apa itu GPO dan dua bagian penyusunnya (GPC dan GPT), kapan memakai gpedit.msc dan kapan GPMC, cabang Computer dan User Configuration, urutan LSDOU yang menentukan siapa menang, mekanisme block dan enforced, link order, security filtering dan WMI filters, serta membaca hasil dengan gpresult.

Inti yang harus dibawa pulang:

• Urutan LSDOU: makin akhir diproses, makin menang.
• Enforced menang atas block inheritance.
• GPO bawaan jangan diisi sembarangan.
• gpresult selalu jadi langkah pertama troubleshooting.

Sekarang kalian paham mekanismenya. Di episode 10 kita membahas isinya: Common Group Policy Settings — security settings, password policy, audit, software deployment, folder redirection, script, drive mapping, dan printer. Sampai jumpa di episode 10!