Belajar System Administrator - User, Identity & Access Management

#Pendahuluan

Di episode 3 dan 4 kalian sudah membuat user di Linux dan Active Directory. Episode 5 menaikkan level: dari sekadar "membuat user" menjadi mengelola identitas dan akses secara sistematis — disiplin yang dikenal sebagai IAM (Identity and Access Management).

Mengapa topik ini terpisah? Karena user yang tidak dikelola dengan benar adalah pintu masuk terbesar masalah keamanan: akun karyawan yang sudah keluar masih aktif, user dengan akses terlalu luas, atau password yang tidak pernah kedaluwarsa. IAM adalah tempat sysadmin mencegah masalah sebelum menjadi insiden.

#User Lifecycle: Dari Lahir Sampai Pensiun

Setiap akun melewati siklus hidup. Sysadmin yang baik mengotomasi dan melacak seluruh siklus ini — bukan sekadar membuat akun saat onboarding.

Tahap	Aktivitas	Alat
Provisioning	Buat akun, grup, home dir, akses awal	AD, LDAP, script provisioning
Operational	Reset password, ubah akses, ubah grup	Helpdesk tools, self-service
Review	Audit siapa punya akses apa	Laporan berkala
De-provisioning	Hapus/disable akun, cabut akses saat offboarding	Script offboarding

Poin terpenting ada di de-provisioning: akun karyawan yang keluar harus segera di-disable — bukan dihapus (data dan audit trail-nya masih dibutuhkan). Keterlambatan sehari saja bisa menjadi celah keamanan.

#Praktik Lifecycle di Linux

Onboarding dan offboarding Linux

# Onboarding
sudo useradd -m -s /bin/bash sinta
sudo usermod -aG developers sinta
sudo mkdir -p /srv/dev/sinta
sudo chown sinta:developers /srv/dev/sinta
 
# Offboarding: disable dulu, jangan langsung hapus
sudo usermod -L sinta
sudo usermod --expiredate 1 sinta

usermod -L mengunci password, dan --expiredate 1 membuat akun kadaluwarsa — kombinasi aman untuk mematikan akses tanpa menghapus data.

#RBAC: Prinsip Least Privilege

RBAC (Role-Based Access Control) berarti: akses diberikan berdasarkan peran, bukan per-user. Karyawan "Budi" di departemen Finance mendapat akses ke peran "Finance-ReadOnly", bukan daftar 12 folder satu per satu.

Keuntungannya:

Skala — tambah 50 user? Cukup masuk ke 2 peran.
Least privilege — setiap peran hanya berisi akses minimal yang dibutuhkan.
Audit — mudah melihat siapa punya akses peran apa.

Penerapan nyata di Linux dengan group sebagai "peran":

RBAC sederhana dengan group

sudo groupadd finance-ro
sudo usermod -aG finance-ro budi
sudo chgrp -R finance-ro /srv/finance
sudo chmod -R g+rx /srv/finance

Di Active Directory, peran hidup sebagai security group, dan akses diberikan ke group tersebut:

RBAC dengan AD group

New-ADGroup -Name "Finance-RO" -GroupScope Global -Path "OU=Groups,DC=lab,DC=local"
Add-ADGroupMember -Identity "Finance-RO" -Members budi

Important

Jangan pernah memberi akses ke satu user langsung ke resource sensitif. Selalu lewat group. Jika nanti audit menemukan "user X punya akses Y", jawabannya harus "karena X di group Z" — bukan "karena dulu diminta atasan". Group adalah satu-satunya cara akses bisa di-review secara masuk akal.

#Group Policy untuk Kontrol Akses

Group Policy (dari episode 4) adalah alat untuk menegakkan kebijakan akses di Windows: password policy, account lockout, restricted groups, hingga mengatur siapa yang boleh login ke mesin tertentu. Contoh yang paling sering diatur:

Kebijakan	Nilai Umum	Alasan
Minimum password length	12+ karakter	Menaikkan biaya serangan brute force
Account lockout threshold	5 percobaan	Menghambat serangan password
Maximum password age	90 hari	Membatasi masa pakai kompromi
MFA enforcement	Enabled	Lapis keamanan kedua

#Multi-Factor Authentication (MFA)

Password saja tidak cukup di 2026 — kebocoran kredensial terlalu umum. MFA menambahkan faktor kedua (TOTP app, perangkat fisik, atau biometrik) sehingga kompromi password saja tidak cukup untuk masuk.

Penerapan MFA di lingkungan Windows umumnya lewat layanan seperti Microsoft Entra ID (Azure AD) dengan Conditional Access; di lingkungan self-hosted sering dipakai FreeIPA + FreeOTP, atau TOTP via libpam-google-authenticator di Linux.

MFA SSH dengan google-authenticator (Linux)

sudo apt install -y libpam-google-authenticator
google-authenticator

Panduan interaktif ini menghasilkan secret & QR code; tambahkan baris auth required pam_google_authenticator.so di /etc/pam.d/sshd dan set ChallengeResponseAuthentication yes di /etc/ssh/sshd_config, lalu restart sshd. Kita perkuat lagi topik SSH di episode 18.

Tip

Aturan praktis MFA: selalu aktifkan untuk admin dan akses remote. Untuk user biasa, aktifkan bertahap mulai dari akun berisiko tinggi (finance, HR, manajemen). Jangan lupa menyediakan kode recovery — user yang terkunci di luar karena kehilangan phone adalah tiket paling tidak menyenangkan.

#Praktik: Kelola User & Permission Terpusat

Satukan semua konsep: buat peran, isi user, terapkan, lalu audit.

Siklus IAM lengkap di Linux

# 1. Definisikan peran sebagai group
sudo groupadd developers
# 2. Isi user ke peran
sudo usermod -aG developers budi sinta
# 3. Terapkan permission ke resource via group
sudo chgrp -R developers /srv/app && sudo chmod -R g+rw /srv/app
# 4. Audit: siapa yang punya akses ke resource ini
getent group developers

Audit dengan getent group developers adalah kebiasaan yang akan kalian ulang terus: satu baris untuk tahu siapa saja punya akses ke sebuah resource.

#Penutup

Inti yang harus dibawa pulang dari episode 5:

User lifecycle lengkap: provisioning → operational → review → de-provisioning; akun offboarding wajib segera di-disable.
RBAC dan least privilege: akses lewat peran/group, bukan per-user.
Group Policy menegakkan kebijakan password, lockout, dan kontrol login terpusat.
MFA adalah keharusan 2026, terutama untuk admin dan akses remote.

Di episode 6 selanjutnya kita akan membahas Networking Fundamentals for Sysadmin — IP, DNS, DHCP, VLAN, firewall, VPN, dan troubleshooting jaringan dari sisi sysadmin, dengan praktik mendiagnosa konektivitas di lab dua server kalian. Pastikan tetap semangat, karena pemahaman jaringan akan mewarnai hampir semua episode berikutnya!