Belajar Active Directory - Access Control & Permissions

#Pendahuluan

Setelah episode 13 dan 14 kita membahas bagaimana identitas dibuktikan — lewat Kerberos yang modern dan NTLM yang harus ditinggalkan — sekarang tiba waktunya membahas sisi kedua dari keamanan: otorisasi. Autentikasi menjawab "siapa kamu?", otorisasi menjawab "apa yang boleh kamu lakukan?". Dan di Windows, jawaban untuk pertanyaan kedua diatur oleh permissions dan access control.

Bayangkan AD dan file server sebagai gedung kantor dengan sistem kunci berlapis. Ada dua jenis kunci yang bekerja bersamaan: kunci pintu gedung (share permissions) yang menentukan siapa yang boleh masuk gedung, dan kunci pintu ruangan (NTFS permissions) yang menentukan siapa yang boleh masuk ruangan spesifik. Seseorang dengan kunci gedung tetapi tanpa kunci ruangan tidak bisa masuk ke ruang server. Sebaliknya, punya kunci ruangan tidak berarti bisa melewati pintu gedung. Keduanya harus dimiliki — dan keduanya harus dipahami agar tidak salah konfigurasi.

#NTFS Permissions: Kunci Ruangan

NTFS permissions adalah izin tingkat filesystem yang melekat pada folder dan file di volume NTFS. Ia berjalan jauh lebih dalam daripada sekadar Read/Write. Izin dasar yang sering dipakai:

NTFS juga mendukung advanced permissions yang sangat granular — mengubah atribut, membaca extended attributes, menghapus subfolder, dan lainnya. Ini penting untuk skenario yang menuntut presisi, misalnya memberi "boleh membuat file, tapi tidak boleh menghapus file orang lain".

Kekuatan NTFS adalah ia melekat pada data itu sendiri, jadi ke mana pun folder dipindahkan atau di-share ulang, izinnya ikut. Inilah mengapa NTFS menjadi lapisan otorisasi yang paling diandalkan.

#Share Permissions: Kunci Pintu Gedung

Share permissions bekerja di level protokol jaringan — ia adalah "pintu" yang dilihat user saat mengakses folder lewat jaringan. Izinnya sederhana: Read, Change, dan Full Control. Yang perlu diingat: share permissions tidak berlaku saat user mengakses folder secara lokal di komputer tempat folder itu berada.

Karena dua lapisan ini bekerja bersamaan, aturan gabungannya adalah:

• Izin efektif = irisan paling ketat. Untuk akses jaringan, Windows memakai kombinasi paling restriktif antara share dan NTFS. Jadi jika share memberi Full Control tetapi NTFS hanya memberi Read, hasil akhirnya adalah Read.
• Izin lokal hanya NTFS. Saat user duduk di depan komputer yang sama, hanya NTFS yang berlaku.

Implikasi praktisnya: banyak admin memakai pola "share dibuka lebar (Everyone: Full Control), lalu keamanan sesungguhnya dipegang NTFS". Ini bukan kesalahan — selama kalian paham bahwa NTFS adalah penjaga terakhir. Yang sering keliru adalah memberi izin ketat di share, longgar di NTFS, lalu bingung kenapa user tidak bisa mengakses padahal "sudah diberi izin".

net share DATA
icacls D:\data

#ACL, DACL, dan SACL: Anatomi Izin

Di balik layar, setiap objek yang diamankan (folder, file, objek AD, registry key) membawa sebuah security descriptor yang berisi daftar siapa yang boleh apa. Dua komponen utamanya:

• DACL (Discretionary Access Control List) — daftar yang menentukan akses yang diizinkan atau ditolak. Inilah yang dipakai sistem untuk menjawab "boleh atau tidak?". Setiap baris di dalamnya disebut ACE (Access Control Entry) — satu pasangan siapa (SID) dan apa yang boleh (right).
• SACL (System Access Control List) — daftar untuk auditing. Ia tidak mengatur akses, melainkan mencatatnya: beri tahu Windows peristiwa akses apa saja yang harus dicatat ke security log (misalnya "catat setiap kali ada yang mencoba menghapus file di folder ini").

Sebuah ACE berisi SID (Security Identifier) — pengenal unik setiap user, group, atau komputer di domain. SID adalah "nomor KTP" di dunia Windows: nama bisa berubah, tapi SID tidak. Itulah sebabnya izin selalu merujuk pada SID, bukan nama — sehingga jika user diganti nama, izinnya tetap bertahan.

#Inheritance dan Propagation: Izin yang Menurun

Inheritance adalah mekanisme yang membuat izin folder induk otomatis turun ke folder anak. Inilah yang menjaga kebersihan struktur folder — kalian mengatur izin sekali di level atas, dan seluruh struktur di bawahnya ikut teratur.

Yang perlu dipahami adalah perbedaan dua jenis izin:

• Explicit permissions — diatur langsung pada objek tertentu.
• Inherited permissions — diwarisi dari induk dan otomatis mengikuti perubahan induk.

Saat kalian melihat tab Effective Access atau properti sebuah folder, izin yang diwarisi (tampak pudar/di-tab) tidak bisa diedit langsung — ia hanya bisa diubah di sumbernya atau di-block inheritance-nya. Menonaktifkan inheritance adalah alat penting: misalnya folder proyek rahasia yang tidak boleh menerima izin dari induknya.

Precedence Deny lebih kuat daripada Allow. Ketika ada konflik, entri Deny selalu menang — bahkan jika Allow memberi Full Control. Ini alat yang berguna untuk pengecualian tegas ("semua orang boleh baca, tapi akun ini dilarang"), namun juga sumber kebingungan klasik. Gunakan Deny dengan hemat dan selalu dokumentasikan.

Get-Acl D:\data | Format-List Owner, AccessToString

#Delegasi Izin di Active Directory

Access control di Windows tidak berhenti pada file. Objek AD itu sendiri — user, group, OU — juga punya izin yang menentukan siapa yang boleh melihat, membuat, atau mengubah apa. Inilah yang membuat delegasi administrasi menjadi mungkin: kalian bisa memberi tim IT-Support hak untuk membuat dan mereset password user di satu OU tertentu — tanpa menjadikan mereka Domain Admins.

Alat utamanya adalah Delegation of Control Wizard di Active Directory Users and Computers — atau dsacls dari baris perintah. Dengan wizard ini, kalian memilih:

1. Folder/OU yang didelegasikan.
2. Group yang menerima kewenangan (bukan user perorangan).
3. Tugas spesifik yang diizinkan — misalnya "reset user passwords", "create, delete, and manage user accounts", atau izin lanjutan.

dsacls "OU=Karyawan,DC=corp,DC=local" /G "CORP\IT-Support:CA;Reset Password;user"

Setelah didelegasikan, seluruh aktivitas group itu tercatat — dan di sinilah auditing (episode 12) kembali berperan: delegasi yang baik selalu disertai audit yang baik.

#Ownership dan Take Ownership

Setiap objek diamankan punya pemilik (owner) — biasanya user yang membuatnya. Owner memiliki hak istimewa yang tidak dimiliki siapa pun: ia bisa selalu melihat dan mengubah izin objek, bahkan jika DACL-nya menolak semua orang.

Dua hal tentang ownership:

• Owner selalu bisa mengubah DACL — termasuk mengizinkan dirinya sendiri akses penuh. Ini jaring pengaman terakhir Windows.
• Admin tidak otomatis menjadi owner. Administrator bisa mengambil alih kepemilikan (Take Ownership) — karena administrator harus selalu bisa mengakses apa pun — tetapi tindakan ini biasanya dicatat dan seharusnya menjadi pengecualian, bukan kebiasaan.

takeown /f D:\data /r /d y
icacls D:\data /setowner "CORP\Administrators" /t /c

Mengapa ownership penting secara praktis? Saat troubleshooting "kenapa saya tidak bisa mengubah izin folder padahal saya admin", jawabannya hampir selalu kepemilikan. Dan saat penyerang berhasil mengeksploitasi objek, ownership menjadi salah satu jejak yang wajib diperiksa di audit.

#Praktik Terbaik Permissions

Setelah memahami mekanismenya, berikut ringkasan kebiasaan yang menyelamatkan lingkungan produksi:

• Gunakan group, bukan user. Izin diberikan ke group; user dimasukkan ke group. Mengganti keanggotaan group jauh lebih mudah daripada memperbaiki puluhan izin per-user.
• Pegang least privilege (episode 12) sampai ke level file dan objek.
• Audit izin secara berkala — bukan hanya saat ada masalah. Periksa folder yang terlalu terbuka, group yang sudah tidak aktif, dan izin eksplisit yang tersisa setelah perubahan struktur.
• Dokumentasikan pengecualian. Izin khusus yang "di luar pola" wajib dicatat beserta alasannya — jika tidak, pengecualian itu akan jadi teka-teki bagi admin berikutnya.
• Bersihkan izin yang tidak perlu — izin yang menumpuk tanpa pemilik membuat struktur tidak dapat diprediksi.

#Penutup

Pada episode ini kita telah membedah kontrol akses di Windows dan Active Directory: perbedaan NTFS permissions sebagai penjaga data dan share permissions sebagai pintu jaringan dengan aturan gabungan paling restriktif, konsep ACL dengan DACL dan SACL beserta ACE dan SID, mekanisme inheritance dan aturan Deny menang atas Allow, delegasi izin objek AD lewat Delegation of Control Wizard dan AdminSDHolder, serta ownership dengan Take Ownership.

Inti dari episode ini: otorisasi yang baik adalah otorisasi yang bisa diprediksi — dan prediktabilitas itu lahir dari izin yang terstruktur, disederhanakan dengan group, dan didokumentasikan.

Di episode 16 selanjutnya, kita beralih ke mekanisme yang menjaga semua objek dan izin ini tetap konsisten di seluruh domain: Active Directory Replication — bagaimana multi-master replication, USN, dan KCC menjaga setiap domain controller menyimpan salinan yang sama. Pastikan tetap semangat!