Belajar IAM Engineer - Customer IAM (CIAM)

#Pendahuluan

Setelah di episode 14 kita membahas Kubernetes & workload identity, pada episode ini kita masuk ke Customer IAM (CIAM) — pengelolaan identity untuk customer-facing applications. Berbeda dari enterprise IAM (fokus employee), CIAM harus menangani jutaan registrasi, social login, dan consent management.

Mengapa CIAM penting? Karena pengalaman login yang buruk bisa kehilangan customer. CIAM harus mengimbangi keamanan dengan user experience yang mulus — terlalu banyak friction dan customer akan pergi ke kompetitor.

#Perbedaan Enterprise IAM vs CIAM

#Social Login

#OAuth Social Login Flow

#Supported Providers

#Registration Flows

#Email + Password Registration

1. User masukkan email & password
2. Kirim verification email
3. User klik verification link
4. Account aktif
5. (Opsional) MFA setup

#Passwordless Registration

1. User masukkan email
2. Kirim magic link atau OTP
3. User verifikasi
4. Account aktif

#Keycloak untuk CIAM

#Konfigurasi Realm CIAM

Setup CIAM realm di Keycloak

# 1. Create new realm: customer-realm
# 2. Configure Login:
#    - User registration: enabled
#    - Email verification: required
#    - Password policy: min 8 chars
# 3. Configure Brute Force Detection:
#    - Max login failures: 5
#    - Wait increment: 10 minutes
# 4. Enable Social Login:
#    - Google (OIDC)
#    - Apple (OIDC)

#Self-Registration

# Via Admin REST API
curl -X PUT http://localhost:8080/admin/realms/customer-realm \
  -H "Authorization: Bearer $ADMIN_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "registrationAllowed": true,
    "verifyEmail": true,
    "loginWithEmailAllowed": true
  }'

#Consent Management

#GDPR Consent

Untuk GDPR compliance, CIAM harus:

1. Collect consent — saat registrasi dan penggunaan data
2. Store consent — dengan timestamp dan versi kebijakan
3. Allow withdrawal — user bisa cabut consent kapan saja
4. Audit trail — catatan semua perubahan consent

curl -X POST https://api.example.com/user/consent \
  -H "Authorization: Bearer $TOKEN" \
  -d '{
    "purpose": "marketing_emails",
    "granted": true,
    "policy_version": "2.1",
    "timestamp": "2026-08-16T10:00:00Z"
  }'

#Security Features

#Penutup

Inti yang harus dibawa pulang:

• CIAM berbeda dari enterprise IAM: scale lebih besar, consent-driven, UX-focused.
• Social login (Google, Apple, Facebook) menjadi standar di CIAM.
• Consent management adalah keharusan untuk GDPR/CCPA compliance.
• Security features seperti rate limiting dan breached password detection wajib.

Di episode 16 selanjutnya kita akan membahas identity for AI & machine identity — service-to-service auth, mTLS, dan AI/agent identities. Siapkan identity untuk era AI!