Belajar IAM Engineer - Directory Services (Active Directory)

#Pendahuluan

Setelah di episode 2 kita membahas identity fundamentals (AAA), pada episode ini kita masuk ke Active Directory (AD) — directory service yang menjadi backbone IAM di lingkungan Windows korporat. AD digunakan oleh 95%+ perusahaan Fortune 500, sehingga pemahaman mendalam tentang AD adalah keharusan bagi IAM Engineer.

Mengapa AD begitu penting? Karena AD bukan hanya menyimpan data user — ia mengelola komputer, policies, permissions, dan bahkan menentukan siapa bisa login ke mana dan kapan. AD adalah "pusat gravitasi" dari seluruh infrastruktur identity di Windows.

#Arsitektur Active Directory

#Domain

Domain adalah unit administrasi utama di AD. Setiap domain punya:

Domain Controller (DC) — server yang menyimpan database AD dan memproses authentication
DNS name — identitas domain (misal example.com)
Database (NTDS.dit) — file yang berisi semua objects AD

#Organizational Units (OUs)

OUs memungkinkan pembagian objects ke dalam struktur hierarchical:

text

example.com
├── Domain Controllers
├── Users
│   ├── IT Department
│   ├── Engineering
│   └── Marketing
├── Computers
│   ├── Workstations
│   └── Servers
└── Service Accounts

OUs memudahkan penerapan GPO dan delegasi administrasi.

#Groups

Tipe Group	Fungsi
Security Group	Menentukan akses ke resources (file shares, printers)
Distribution Group	Untuk email distribution (Exchange)
Global Group	Bisa digunakan di seluruh domain forest
Domain Local	Berlaku di domain tempat dibuat
Universal	Berlaku di seluruh forest

#Group Policy Objects (GPO)

GPO adalah mekanisme untuk menerapkan konfigurasi ke user dan komputer secara terpusat:

text

GPO Link:
OU: IT Department → GPO: IT_Policy
  ├── Password Policy (min 12 chars, complexity)
  ├── Desktop Settings (wallpaper, screen lock)
  ├── Software Installation (antivirus deployment)
  └── Security Settings (audit policies, firewall)

#Contoh GPO Penting

GPO Setting	Fungsi
Password Policy	Minimum length, complexity, expiry
Account Lockout	Lock setelah N failed attempts
Audit Policy	Logging authentication events
Software Restriction	Mencegah executable tertentu

Lihat GPO yang diterapkan ke user/komputer

gpresult /r
gpresult /h gpo_report.html

#Kerberos Authentication

Kerberos adalah protocol authentication utama di AD Windows. Cara kerjanya:

100%

#Komponen Kerberos

Komponen	Fungsi
KDC (Key Distribution Center)	DC yang issue tickets
TGT (Ticket Granting Ticket)	Ticket untuk request service tickets
Service Ticket	Ticket untuk mengakses service tertentu
SPN (Service Principal Name)	Identitas service di AD

#Delegasi & Administrative Tiering

#Administrative Tiers

Untuk mencegah compromis berantai:

Tier	Contoh	Akses
Tier 0	Domain Controllers, PKI	Full AD access
Tier 1	Servers, applications	Server admin
Tier 2	Workstations	End-user support

Warning

Admin Tier 0 tidak boleh login ke workstation atau server Tier 1/2. Pelanggaran ini bisa menyebabkan credential theft yang menyebar ke seluruh domain. Selalu gunakan PAW (Privileged Access Workstations) untuk Tier 0.

#Penutup

Inti yang harus dibawa pulang:

AD menggunakan struktur Domain → OUs → Groups untuk organisasi.
GPO menerapkan konfigurasi terpusat ke user dan komputer.
Kerberos adalah protocol authentication utama dengan sistem ticket.
Administrative tiering mencegah compromis berantai dari workstation ke domain.

Di episode 4 selanjutnya kita akan membahas Entra ID & cloud directory — tenants, users, groups, hybrid identity, dan integrasi cloud. Siapkan Entra ID tenant kalian!