Belajar Active Directory - Azure AD Connect & Hybrid Identity

#Pendahuluan

Di episode 19 kita menempatkan RODC di kantor cabang dan belajar membatasi keamanannya. Sekarang kita melangkah lebih jauh: tidak hanya ke cabang fisik, tapi ke cloud. Di episode 20 ini kita membahas Azure AD Connect dan hybrid identity — cara menyatukan identitas on-premises Active Directory dengan Microsoft Entra ID sehingga satu identitas berlaku di dua dunia.

Mengapa ini relevan? Aplikasi cloud seperti Microsoft 365, Salesforce, atau ratusan SaaS lain tidak mengenal Kerberos dan tidak membaca database AD lokal. Mereka butuh identitas di cloud. Kalau setiap aplikasi membuat akun sendiri, kalian akan menghadapi masalah yang persis sama seperti sebelum AD ada: akun ganda, password berbeda, dan laporan audit yang terpecah. Hybrid identity mengatasinya dengan sinkronisasi.

#Mengapa Hybrid Identity

Hybrid identity adalah kondisi di mana satu identitas pengguna hidup di dua tempat — on-premises dan cloud — dan tetap dianggap sebagai orang yang sama. Keuntungannya:

Single identity — pengguna tidak perlu menghafal dua password yang berbeda.
SSO ke cloud — logon ke Microsoft 365 tanpa diminta login ulang.
Conditional Access — kebijakan akses bisa memperhitungkan status di on-premises.
Satu sumber kebenaran — AD lokal tetap menjadi master, dan perubahan menyebar ke cloud.

Pola ini menjadi standar modern: on-premises AD bukan ditinggalkan, melainkan diperluas.

#Tiga Model Autentikasi

Azure AD Connect mendukung tiga metode autentikasi. Perbedaannya ada di di mana password divalidasi:

Metode	Validasi password	Kebutuhan agent di on-prem	Kompleksitas
Password Hash Sync	Di Azure AD	Tidak	Rendah
Pass-through Authentication	Di AD lokal	Ya (agent)	Sedang
Federation (AD FS)	Di AD FS	Ya (AD FS + WAP)	Tinggi

Pilih yang paling sederhana yang memenuhi kebutuhan. Jangan sampai memakai federation hanya karena tren — setiap tingkat kompleksitas menambah titik gagal.

#Password Hash Synchronization (PHS)

Password Hash Sync adalah metode paling populer dan paling mudah. Azure AD Connect menghitung hash dari password AD (yang sudah berupa hash MD4), lalu menambah salt dan meng-hash ulang sebelum dikirim ke cloud melalui TLS. Artinya, password asli atau hash asli AD tidak pernah dikirim dalam bentuk yang bisa digunakan ulang.

Cara kerjanya:

Hash diperbarui saat password berubah di AD — pengguna yang ganti password di lokasi akan langsung bisa login ke cloud.
PHS bisa dikombinasikan dengan Seamless SSO sehingga pengguna di komputer yang join domain login ke cloud tanpa memasukkan password lagi.
Mendukung password writeback — reset password di cloud bisa disinkronkan balik ke AD.

#Pass-through Authentication (PTA)

Pass-through Authentication memvalidasi password langsung di AD lokal melalui agen autentikasi. Cloud tidak pernah menyimpan hash; setiap kali pengguna login ke aplikasi cloud, permintaan diteruskan ke agen, yang mengecek password terhadap AD on-premises, lalu mengembalikan hasilnya.

Karena validasi tetap terjadi di AD, kebijakan seperti masa berlaku password, status akun disabled, dan lockout langsung berlaku tanpa perlu sinkronisasi. Pasang minimal dua agen di server berbeda untuk high availability — jika satu server mati, autentikasi tetap berjalan.

Tip

PTA cocok jika organisasi punya aturan ketat "password tidak boleh meninggalkan jaringan" atau jika kebutuhan real-time status akun sangat penting. Untuk organisasi yang ingin sesederhana mungkin, PHS sudah cukup.

#Federation dengan AD FS

Active Directory Federation Services (AD FS) adalah model paling kompleks: autentikasi dilakukan di on-premises oleh AD FS, dan cloud mempercayai klaim yang dikeluarkan AD FS. Ini memungkinkan aturan klaim khusus, MFA on-premises, dan integrasi dengan aplikasi yang tidak mendukung protokol modern.

Harga dari fleksibilitas itu mahal: AD FS dan Web Application Proxy (WAP) harus dikelola, dimonitor, dan di-backup. AD FS menjadi komponen kritis — jika mati, login cloud ikut mati. Gunakan hanya jika ada kebutuhan yang benar-benar menuntut, seperti aturan claims khusus atau kewajiban regulasi.

#Instalasi Azure AD Connect

Azure AD Connect adalah jembatan sinkronisasi antara AD dan cloud. Prasyaratnya: tenant Entra ID, domain on-premises yang bisa diakses, dan akun admin untuk kedua sisi. Setelah mengunduh installer, jalankan:

Instalasi dan verifikasi sinkronisasi Azure AD Connect

msiexec /i AzureADConnect.msi /quiet
Import-Module "C:\Program Files\Microsoft Azure AD Sync\Tools\ADSync"
Get-ADSyncConnector | Select-Object Name, Type
Start-ADSyncSyncCycle -PolicyType Delta

Di balik installer ada sync engine: komponen yang membaca objek dari AD melalui connector, memetakannya ke ruang metaverse, lalu meneruskan perubahan ke cloud. Aturan konektor (connector rules) menentukan transformasi — misalnya memetakan sAMAccountName lokal ke userPrincipalName cloud, atau meng-exclude atribut tertentu agar tidak tersinkron.

Note

Sinkronisasi default bersifat delta: hanya perubahan yang dikirim, bukan seluruh direktori setiap saat. Kalian bisa memicu siklus penuh hanya jika diperlukan, misalnya setelah mengubah aturan konektor.

#Password Writeback dan Device Writeback

Dua fitur yang memperlengkapi hybrid identity:

Password writeback — pengguna yang lupa password bisa reset lewat cloud (misalnya via self-service password reset), dan password barunya ditulis balik ke AD lokal. Aktifkan di Azure AD Connect dan pastikan lisensi mendukungnya.
Device writeback — objek device dari Entra ID ditulis balik ke AD sehingga hybrid Azure AD join bisa diterapkan: perangkat dikenali oleh kedua lingkungan dan bisa dinilai oleh Conditional Access.

#Seamless SSO dan Azure AD Connect Health

Seamless SSO — komputer yang join domain memakai Kerberos untuk mendapatkan TGT di cloud secara diam-diam; pengguna tidak diminta login saat membuka aplikasi cloud pertama kali.
Azure AD Connect Health — agen monitoring yang melaporkan kesehatan sinkronisasi: siklus yang gagal, object yang error, dan lag antar siklus. Pasang segera setelah instalasi agar masalah sinkronisasi terdeteksi sebelum menjadi insiden.

#Penutup

Di episode ini kalian memahami lanskap hybrid identity:

Hybrid identity menyatukan identitas lokal dan cloud dalam satu sumber kebenaran.
Tiga model autentikasi: PHS (sederhana), PTA (validasi di on-prem), dan AD FS (federation penuh) — pilih yang paling sederhana yang memenuhi kebutuhan.
Sync engine Azure AD Connect memetakan objek lokal ke cloud melalui connector rules.
Password writeback dan device writeback memperluas manajemen identitas ke dua arah.
Azure AD Connect Health menjaga sinkronisasi tetap sehat.

Dengan hybrid identity, AD tidak lagi terbatas pada ruang server. Di episode 21, kita menyiapkan kotak peralatan untuk saat-saat semuanya bermasalah: Active Directory troubleshooting tools — dcdiag, repadmin, ntdsutil, dsquery, nltest, netdom, dan klist. Sampai jumpa!