Belajar Active Directory - Modern Authentication & Passwordless

#Pendahuluan

Di episode 28 kita mengubah AD menjadi sumber bukti kepatuhan. Namun ada satu fondasi yang hampir semua regulasi dan standar keamanan kini tuntut: autentikasi yang lebih kuat dari sekadar password. Episode 29 ini membawa kalian ke lanskap autentikasi modern — dari Active Directory on-premises menuju Microsoft Entra ID dan era passwordless.

Mengapa password harus digantikan? Karena password adalah rahasia yang bisa dicuri, ditebak, dan dipakai ulang di tempat lain. Satu email phishing yang meyakinkan bisa mengirim kredensial admin ke tangan penyerang tanpa ada jejak di jaringan. Fokus keamanan modern bukan membuat password lebih kuat, melainkan menghilangkan ketergantungan padanya.

#Azure AD Menjadi Microsoft Entra ID

Azure Active Directory kini bernama Microsoft Entra ID. Ini adalah layanan identitas berbasis cloud Microsoft — "Active Directory untuk era internet": tanpa Kerberos dan LDAP, digantikan oleh OAuth2, OIDC, dan SAML.

Dua pola arsitektur yang perlu kalian bedakan:

• Cloud-only: identitas lahir di Entra ID, tidak ada AD on-premises. Cocok untuk organisasi baru atau yang semua aplikasinya cloud.
• Hybrid: AD on-premises tetap menjadi sumber kebenaran, disinkronkan ke Entra ID lewat Microsoft Entra Connect Sync (episode 20). Pola paling umum saat aplikasi legacy masih hidup di on-premises.

Entra ID bukan pengganti AD — keduanya saling melengkapi, dan banyak organisasi berjalan di kedua dunia secara bersamaan.

#Mengapa Password Gagal

Password menghadapi lawan yang luar biasa: phishing, credential stuffing dari kebocoran basis data, dan penggunaan ulang di banyak layanan. MFA menutup sebagian celah, tapi MFA berbasis SMS dan kode sekali pakai pun bisa dikalahkan phishing real-time. Solusinya bukan lapisan perekat — melainkan autentikasi yang tahan phishing sejak desainnya.

#MFA dan Enforcement

MFA bukan lagi pilihan. Dua mekanisme yang harus kalian pahami:

• Per-user legacy MFA — pendekatan lama, disetel per akun, sulit diaudit, dan kini dihentikan Microsoft.
• Conditional Access — pendekatan modern: kebijakan yang dievaluasi di setiap proses masuk, bukan pengaturan per akun.

Prinsip penerapan MFA:

1. Aktifkan Security defaults untuk tenant baru — MFA wajib untuk admin, dasar tapi efektif.
2. Wajibkan MFA untuk semua admin terlebih dahulu, lalu seluruh user.
3. Blokir legacy authentication — protokol lama (basic auth, IMAP, POP) tidak bisa dikuatkan dengan MFA.

#Conditional Access

Conditional Access adalah mesin kebijakan Entra ID: jika kondisi terpenuhi, terapkan kontrol. Struktur polisinya terdiri dari conditions (user, aplikasi, lokasi, status perangkat) dan grant controls (wajib MFA, perangkat patuh, aplikasi disetujui, atau blokir). Kerangka polisinya kira-kira:

{
  "conditions": {
    "users": { "includeRoles": [ "GlobalAdmin", "ConditionalAccessAdministrator" ] },
    "applications": { "includeApplications": [ "All" ] },
    "clientAppTypes": [ "browser", "mobileAppsAndDesktopClients" ]
  },
  "grantControls": { "operator": "OR", "builtInControls": [ "Mfa" ] },
  "state": "enabled"
}

Conditional Access adalah salah satu pilar utama arsitektur Zero Trust: verifikasi eksplisit di setiap akses, bukan kepercayaan sekali login.

#Windows Hello for Business

Windows Hello for Business (WHfB) menggantikan password pada perangkat Windows. Prinsipnya: bukan "apa yang kalian tahu" (password), melainkan "apa yang kalian miliki" (perangkat) dan "siapa kalian" (biometrik atau PIN).

• PIN terikat pada perangkat dan dilindungi TPM; tidak pernah dikirim lewat jaringan. Mencuri PIN tidak berguna tanpa perangkatnya.
• Biometrik (wajah, sidik jari, iris) adalah fokus pengaman PIN — bukan pengganti password secara langsung.
• Autentikasi berbasis kunci (key pair), bukan rahasia bersama yang bisa diputar ulang — sehingga tahan phishing.

WHfB punya dua model kepercayaan: key trust (sederhana, berbasis kunci) dan certificate trust (menggunakan AD CS untuk sertifikat logon). Untuk lingkungan hybrid, WHfB memanfaatkan Entra Kerberos sehingga user tetap bisa mengakses sumber daya on-premises tanpa password.

#FIDO2 Security Keys dan Passkeys

FIDO2 security keys adalah perangkat keras kecil (seperti YubiKey) yang melakukan autentikasi WebAuthn. Karena kunci privat tidak pernah meninggalkan perangkat dan terikat pada situs yang tepat (origin), key FIDO2 tahan phishing — salah satu standar emas autentikasi modern.

• Integrasi Entra ID: didukung penuh sebagai metode masuk.
• Dukungan on-premises: bisa diarahkan melalui WHfB dan Entra hybrid.

Passkeys adalah evolusi FIDO2 untuk kenyamanan: kredensial berbasis kunci yang bisa disinkronkan antar-perangkat (misalnya lewat ekosistem ponsel dan browser). User tidak perlu membawa perangkat keras tambahan, sambil tetap mendapatkan perlindungan tahan phishing.

#Smart Card untuk Kebutuhan Khusus

Smart card tetap relevan untuk sektor yang menuntut kepatuhan ketat (pemerintahan, militer, finansial): kredensial di kartu, didukung PKI (AD CS, episode 18), dengan kebijakan pencabutan saat kartu dilepas. Ini adalah bentuk "FIDO2 sebelum FIDO2" yang sudah berumur puluhan tahun di Windows.

#Mengurangi Legacy Authentication

Jangan lupa sisi on-premises. Protokol lama adalah pintu masuk yang tidak bisa dikuatkan MFA:

• Basic auth untuk Exchange Online sudah dimatikan Microsoft sejak 2022 — audit aplikasi dan klien yang masih memakainya.
• NTLM (episode 14) rentan pass-the-hash; audit penggunaannya dan batasi.
• LDAP harus diaktifkan signing dan channel binding untuk mencegah relay.

Audit penggunaan NTLM di DC dengan Get-WinEvent (perlu log operasional NTLM diaktifkan):

Get-WinEvent -FilterHashtable @{ LogName = "Microsoft-Windows-NTLM/Operational" } |
    Measure-Object | Select-Object Count

#Roadmap Passwordless

Transisi passwordless bukan peristiwa satu malam — ia sebuah perjalanan bertahap:

Fase 1: Audit autentikasi legacy dan cakupan MFA saat ini
Fase 2: Aktifkan MFA wajib + blokir basic auth dan legacy protocol
Fase 3: Terapkan Windows Hello for Business ke seluruh perangkat
Fase 4: Adopsi FIDO2 atau passkeys untuk akun berisiko tinggi
Fase 5: Kurangi dan hapus protokol legacy, evaluasi passwordless penuh

Ukur keberhasilan dengan metrik: persentase logon passwordless, jumlah peristiwa legacy auth, dan keluhan helpdesk. Jika legacy auth menurun dan passwordless naik, perjalanan kalian berjalan ke arah yang benar.

#Penutup

Di episode 29 ini kalian memahami pergeseran dari autentikasi berbasis password menuju dunia modern: perbedaan cloud-only vs hybrid dengan Microsoft Entra ID, mengapa password gagal sebagai kontrol keamanan, penerapan MFA lewat Conditional Access dan Security defaults, Windows Hello for Business dengan PIN dan biometrik berbasis TPM, FIDO2 dan passkeys sebagai standar tahan phishing, smart card untuk kebutuhan khusus, pengurangan legacy authentication, serta roadmap passwordless bertahap dengan fallback.

Poin kunci:

• Passwordless bukan menghilangkan semua rahasia, tapi menghilangkan rahasia yang bisa diputar ulang.
• Conditional Access menggantikan MFA per-user sebagai cara enforcement modern.
• WHfB dan FIDO2 adalah autentikasi berbasis kunci yang tahan phishing.
• Blokir legacy auth; ia tidak bisa diperkuat MFA.
• Roadmap butuh fallback, metrik, dan fase yang realistis.

Ini hampir akhir perjalanan. Di episode 30 — episode terakhir series ini — kita akan menyatukan semuanya: Production Checklist & Future of AD, dari cek pra-produksi dan rutinitas operasional, rekap seluruh 31 episode, hingga masa depan Active Directory di era identitas modern. Sampai jumpa di puncak!