Belajar IAM Engineer - Identity Integration Architecture
Hub-and-spoke identity architecture, identity middleware, dan legacy system integration menjadi tantangan teknis utama di organisasi hybrid
#Pendahuluan
Setelah di episode 23 kita membahas decentralized identity, pada episode ini kita masuk ke identity integration architecture — bagaimana menghubungkan berbagai sistem identity di organisasi menjadi satu arsitektur yang kohesif. Ini adalah tantangan arsitektural yang dihadapi oleh setiap IAM Engineer di organisasi besar.
Mengapa arsitektur integrasi penting? Karena sebagian besar organisasi memiliki multiple identity systems: AD on-premises, Entra ID cloud, Keycloak untuk SaaS, dan legacy systems yang tidak support modern protocols. Tanpa arsitektur yang jelas, integrasi menjadi kekacauan.
#Arsitektur Identity
#Hub-and-Spoke
Satu central identity hub menghubungkan semua spokes:
IdP Central (Hub)
/ | \ \
/ | \ \
AD Entra ID Keycloak Legacy DB
(Spoke) (Spoke) (Spoke) (Spoke)#Mesh Identity
Setiap sistem terhubung langsung satu sama lain:
AD ←→ Entra ID
↕ ↕
Keycloak ←→ LegacyMesh lebih fleksibel tapi lebih sulit dikelola.
#Identity Middleware
#Konsep
Middleware menghubungkan sistem identity yang berbeda protocol:
Legacy App (LDAP) ←→ Identity Middleware ←→ Entra ID (OIDC)
Custom App (SAML) ←→ Identity Middleware ←→ Keycloak (OIDC)#Implementasi
# Keycloak bisa menjadi middleware identity:
# 1. Federate dengan AD (LDAP)
# 2. Federate dengan Entra ID (OIDC)
# 3. Provide SAML untuk legacy apps
# 4. Provide OIDC untuk modern apps#Identity Proxy
Identity proxy menerjemahkan antar protocol:
| Source | Target | Proxy |
|---|---|---|
| AD (Kerberos) | OIDC apps | Keycloak |
| SAML IdP | OIDC apps | Identity proxy |
| OAuth API | SAML apps | Token exchange |
#Legacy System Integration
#Tantangan Legacy
| Challenge | Penjelasan |
|---|---|
| LDAP-only | Hanya support LDAP, tidak OIDC/SAML |
| No API | Tidak ada programmatic access |
| Custom auth | Authentication custom yang tidak standar |
| Hardcoded credentials | Password di embed di kode |
#Solutions
| Solusi | Komponen |
|---|---|
| LDAP bridge | AD ↔ modern IdP |
| Token exchange | OAuth ↔ SAML |
| Screen scraping | Legacy UI → modern auth |
| API wrapper | Legacy API → modern API |
# Konfigurasi User Federation di Keycloak
# 1. Create LDAP User Federation
# 2. Configure LDAP connection:
# - URL: ldap://ad.company.com:389
# - Base DN: DC=company,DC=com
# - Bind DN: cn=admin,dc=company,dc=com
# 3. Set sync strategy: READ_ONLY atau IMPORT#Identity Data Model
#Universal User Object
{
"id": "did:example:user123",
"identities": {
"ad": "CN=Alice,OU=Engineering,DC=company,DC=com",
"entra": "alice@company.com",
"keycloak": "alice-keycloak-id",
"legacy": "LEGACY-USER-001"
},
"attributes": {
"email": "alice@company.com",
"department": "Engineering",
"role": "developer"
},
"groups": ["engineering", "backend", "devops"]
}#Identity Synchronization
Warning
Legacy integration harus direncanakan dengan matang. Setiap connector menambah kompleksitas dan potential failure point. Dokumentasikan setiap integration path dan monitor availability.
#Architecture Patterns
| Pattern | Use Case | Complexity |
|---|---|---|
| Federation | Multi-org SSO | Sedang |
| Identity bus | Large enterprise | Tinggi |
| Identity as a service | Cloud-first | Rendah |
| Hybrid hub | Mixed environment | Sedang |
#Penutup
Inti yang harus dibawa pulang:
- Hub-and-spoke dan mesh adalah dua model arsitektur identity utama.
- Identity middleware menghubungkan sistem dengan protocol berbeda.
- Legacy integration membutuhkan LDAP bridge atau token exchange.
- Universal user object membantu konsistensi data identity.
Di episode 25 selanjutnya kita akan membahas IAM strategy & roadmap — maturity assessment, roadmap planning, dan operating model. Siapkan strategi IAM kalian!