Belajar IT Support - Active Directory & Accounts

#Pendahuluan

Setelah di episode 6 kita menata aplikasi dan lisensinya, sekarang kita masuk ke sistem yang menjawab pertanyaan paling mendasar di setiap kantor Windows: siapa kamu, dan apa yang boleh kamu akses? Active Directory (AD) adalah direktori terpusat yang menyimpan jawaban itu — dan tiket nomor satu di hampir semua helpdesk ("lupa password") hidup di sini.

Mengapa AD wajib dikuasai support? Karena login laptop, akses file share, printer, email, bahkan VPN perusahaan umumnya menggantung pada satu identitas domain. Satu akun bermasalah bisa melumpuhkan seluruh hari kerja user — dan kalian adalah orang yang memulihkannya dalam hitungan menit.

#Konsep Domain dan Direktori

Analogi termudah: AD adalah KTP + database pegawai digital. Saat user login di PC domain-joined, komputer bertanya ke Domain Controller (DC): "apakah orang ini pegawai sah? grup apa saja miliknya?" Jawaban itulah yang menentukan desktop, drive mapping, dan akses aplikasinya.

Praktik penting: beri akses lewat group, bukan langsung ke user. Ketika Budi pindah divisi, cukup pindahkan dari group FIN-RW ke HRD-RW — bukan membongkar izin satu per satu.

#Tugas Harian Support di AD

#Reset Password dan Unlock

Ini roti dan air helpdesk. Lewat GUI (Active Directory Users and Computers / ADUC):

1. Cari user di ADUC → klik kanan → Reset Password
2. Centang "User must change password at next logon"
3. Unlock account bila statusnya terkunci
4. Serahkan password sementara SECURE (jangan via email plain!)
5. Catat di tiket: siapa minta, verifikasi identitas bagaimana

Lewat PowerShell (lebih cepat dan bisa massal):

Import-Module ActiveDirectory
 
# Reset + paksa ganti saat login berikutnya
Set-ADAccountPassword -Identity budi -Reset `
  -NewPassword (ConvertTo-SecureString "Sementara@2026" -AsPlainText -Force)
Set-ADUser -Identity budi -ChangePasswordAtLogon $true
 
# Unlock akun yang terkunci
Unlock-ADAccount -Identity budi
 
# Lihat akun yang terkunci saat ini
Search-ADAccount -LockedOut | Select-Object Name, LockedOut

#Membuat dan Menonaktifkan Akun

New-ADUser -Name "Budi Santoso" -SamAccountName budi `
  -UserPrincipalName budi@corp.perusahaan.co.id `
  -Path "OU=Finance,OU=Users,DC=corp,DC=perusahaan,DC=co,DC=id" `
  -AccountPassword (Read-Host -AsSecureString "Password awal") `
  -Enabled $true -ChangePasswordAtLogon $true
 
# Nonaktifkan (JANGAN hapus!) saat karyawan keluar
Disable-ADAccount -Identity budi

Kenapa disable, bukan delete? Karena data miliknya (mailbox, file share) masih dirujuk oleh SID akun tersebut. Prosedur lengkap on/offboarding ada di episode 15.

#Group Policy Dasar

Group Policy (GPO) adalah cara perusahaan menegakkan pengaturan secara massal: password policy, wallpaper, mapping drive, blokir USB, auto-lock layar. Sebagai Tier 1, kalian tidak membuat GPO dari nol, tapi wajib bisa:

1. Membaca GPO mana yang aktif di PC user: jalankan gpresult /r — daftar policy yang berlaku untuk user dan komputer.
2. Memaksa sinkronisasi: gpupdate /force setelah admin mengubah policy.
3. Menjelaskan ke user: "tidak bisa install sendiri" atau "password harus 12 karakter" adalah hasil kebijakan, bukan keisengan IT.

gpresult /r
gpupdate /force

Kalau user melapor "tiba-tiba tidak bisa pakai flashdisk", cek dulu gpresult sebelum menuduh hardware — kemungkinan baru saja ada GPO keamanan USB.

#Permission NTFS dan Share

File server punya dua lapis izin yang sering dikacaukan:

Praktik standar: share permission longgar (Authenticated Users = Full di level share), kontrol nyata dititipkan ke NTFS. Aturan efektifnya tiga:

1. Izin via group (misal HRD-Docs-RW, HRD-Docs-RO) — hindari izin per-user.
2. Deny menang atas Allow, tapi hindari entry Deny karena sulit dilacak.
3. Inheritance: izin anak mewarisi induk; putus inheritance hanya jika benar-benar perlu.

icacls "\\fileserver\HRD\Dokumen"
Get-ADGroupMember "HRD-Docs-RW" | Select-Object Name   # siapa saja anggotanya

Tiket klasik "tidak bisa save di folder tim" biasanya berarti: belum masuk group yang tepat, atau sedang membuka file yang masih dikunci user lain.

#Lab Mini: Domain di Rumah

Semua konsep ini bisa kalian latih gratis di VM episode 0: pasang Windows Server Evaluation, jalankan Install-WindowsFeature AD-Domain-Services, promosikan jadi DC dengan domain lab seperti lab.local, join VM Windows 10/11 kalian, lalu praktikkan reset password, bikin group, dan mapping drive lewat GPO.

#Penutup

Inti yang harus dibawa pulang:

• AD adalah database identitas pusat; domain controller memvalidasi siapa boleh masuk dan apa haknya.
• Akses selalu lewat security group, bukan per-user — agar mudah dipindah dan diaudit.
• Reset/unlock password adalah tugas harian; verifikasi identitas lebih dulu, serahkan password secara aman.
• GPO menegakkan pengaturan massal; support membacanya dengan gpresult /r, bukan melawannya.
• Izin file = dua lapis (share + NTFS); kelola lewat group dan pahami inheritance.

Di episode 8 selanjutnya kita membahas email & productivity tools — setup Microsoft 365 dan Outlook, peran DNS record MX/SPF/DKIM/DMARC dalam pengiriman email, penanganan masalah kirim-terima, mailbox penuh, dan kalender yang bentrok. Sampai jumpa!