Apa Itu ADFS?


Halo junior, ketemu lagi sama gua. Kali ini kita bakal bahas barang yang sering bikin pusing kalau lu belum paham konsep dasarnya, tapi sangat powerful buat urusan enterprise identity. Kita bakal bedah tentang AD FS atau Active Directory Federation Services.

Simak baik-baik penjelasan gua di bawah ini biar lu nggak kagok pas ketemu barang ini di lapangan.

Pengertian

AD FS adalah sebuah fitur atau role di Windows Server yang memungkinkan terjadinya berbagi identitas (Identity Sharing) antar organisasi atau aplikasi yang berbeda di luar jaringan lokal lu. Singkatnya, AD FS ini adalah solusi Single Sign-On (SSO) dari Microsoft yang berbasis standar terbuka. Dengan AD FS, user lu nggak perlu punya banyak akun buat login ke aplikasi pihak ketiga (seperti Office 365, AWS, atau Salesforce); mereka cukup pakai kredensial Active Directory (AD) internal mereka sendiri.

Konsep

Konsep utama AD FS adalah Trust Relationship (Hubungan Kepercayaan). Lu punya dua pihak di sini:

  1. Identity Provider (IdP): Ini adalah pihak yang megang data user (server AD lu).

  2. Relying Party (RP): Ini adalah aplikasi atau layanan yang butuh otentikasi (misal: aplikasi SaaS).

AD FS bertindak sebagai jembatan yang mengeluarkan "paspor" digital berupa Security Token yang isinya adalah klaim (claims) tentang identitas user tersebut. Token ini biasanya dikirim lewat protokol SAML (Security Assertion Markup Language) atau OAuth.

Cara Kerja

Prosesnya berjalan secara otomatis di balik layar, urutannya begini:

  1. User mencoba akses aplikasi web (Relying Party).

  2. Aplikasi melihat kalau user belum login, lalu mengarahkan (redirect) browser user ke server AD FS milik perusahaan lu.

  3. User login di halaman AD FS pakai username dan password kantor.

  4. AD FS verifikasi ke Domain Controller. Kalau valid, AD FS bakal buat token digital yang sudah ditandatangani secara kriptografi.

  5. Browser user ngirim token itu balik ke aplikasi web.

  6. Aplikasi web cek tanda tangan tokennya. Kalau cocok sama sertifikat yang sudah dipercaya, user langsung masuk tanpa ditanya password lagi.

Tujuan

Kenapa kita butuh AD FS? Masalah klasik di IT adalah "Password Fatigue". Bayangin kalau karyawan lu harus hafal 10 password berbeda buat 10 aplikasi cloud yang berbeda. Dampaknya? Mereka bakal nulis password di post-it atau malah bikin password yang gampang ditebak.

Tujuan AD FS adalah:

  • Security: Kredensial (password) user nggak pernah keluar dari jaringan internal lu. Pihak ketiga cuma terima token, bukan password.

  • User Experience: Sekali login di komputer kantor, langsung bisa akses semua aplikasi tanpa prompt login berulang kali.

  • Centralized Management: Kalau karyawan resign, lu cukup nonaktifkan akun AD mereka, dan otomatis akses mereka ke semua aplikasi luar juga terputus.

Analogi

Anggaplah AD FS ini seperti Paspor Negara.

Pas lu mau masuk ke negara lain (Aplikasi), petugas imigrasi di sana nggak perlu nelpon RT/RW di kampung lu buat tanya lu itu siapa. Mereka cukup lihat Paspor lu. Kenapa mereka percaya sama Paspor itu? Karena ada tanda tangan resmi dari pemerintah negara asal lu (AD FS) yang sudah diakui secara internasional. Lu cukup punya satu Paspor buat keliling ke banyak negara yang sudah kerja sama.

Kelebihan dan Kekurangan

KelebihanKekurangan
Mendukung SSO untuk aplikasi di luar domain/jaringan lokal.Konfigurasinya cukup kompleks dan butuh pemahaman sertifikat digital (SSL/TLS).
Meningkatkan keamanan karena password tidak dikirim ke pihak luar.Butuh infrastruktur tambahan (minimal dua server untuk high availability).
Bisa diintegrasikan dengan Multi-Factor Authentication (MFA).Bergantung banget sama koneksi internet dan ketersediaan server AD FS.

Tutorial & Problem Solving Lengkap

Gua bakal kasih gambaran cara instalasi dasar di Windows Server 2022.

1. Persiapan Sertifikat

AD FS wajib pakai HTTPS. Lu harus punya sertifikat SSL yang valid (bisa Self-signed buat latihan, tapi wajib CA publik buat produksi).

2. Install AD FS Role

Buka PowerShell sebagai Administrator, lalu jalankan:

# Install fitur AD FS
Install-WindowsFeature Adfs-Federation -IncludeManagementTools

3. Konfigurasi Server

Setelah terinstall, lu harus configure federation service-nya lewat Server Manager atau PowerShell.

# Contoh inisialisasi farm AD FS baru (pastikan lu sudah punya cert thumbprint)
Install-AdfsFarm -CertificateThumbprint "KODE_THUMBPRINT_SSL_LU" -FederationServiceName "sso.perusahaan.com"

4. Menambahkan Relying Party Trust

Ini bagian paling krusial. Lu harus daftarin aplikasi luar ke AD FS.

  1. Buka AD FS Management.

  2. Klik kanan pada Relying Party Trusts > Add Relying Party Trust.

  3. Masukkan URL metadata dari aplikasi (misal dari Office 365 atau aplikasi custom).

  4. Konfigurasi Issuance Transform Rules. Ini buat nentuin data apa yang mau dikirim (misal: kirim Email Address sebagai Name ID).

Problem Solving: "Sertifikat Expired"

Masalah yang paling sering gua temuin di lapangan adalah user nggak bisa login karena sertifikat token-signing-nya expired.

Solusi:

Cek status sertifikat dengan command:

# Cek sertifikat AD FS
Get-AdfsCertificate

Kalau sudah merah/expired, lu harus update dan pastikan aplikasi tujuan (Relying Party) juga sudah update metadata-nya biar sinkron lagi.

Kesimpulan

AD FS adalah solusi wajib kalau lu kerja di lingkungan enterprise yang sudah pakai banyak layanan cloud tapi tetap mau kontrol penuh atas identitas user di server lokal. Best practice dari gua: selalu gunakan AD FS Proxy (Web Application Proxy) kalau server lu mau diakses dari internet, jangan pernah buka server AD FS utama langsung ke publik. Keamanan itu nomor satu, junior.

Glosarium Engineer

  • Active Directory Federation Services (AD FS): Layanan dari Microsoft untuk menyediakan fitur SSO lintas batas jaringan.

  • Single Sign-On (SSO): Teknologi yang memungkinkan user mengakses banyak aplikasi hanya dengan satu kali login.

  • Identity Provider (IdP): Sistem yang menyimpan dan memverifikasi identitas user.

  • Relying Party (RP): Aplikasi atau layanan yang mempercayai identitas dari IdP.

  • SAML (Security Assertion Markup Language): Standar terbuka berbasis XML untuk pertukaran data otentikasi.

  • Security Token: Data digital yang berisi bukti identitas user yang sudah terverifikasi.

  • Domain Controller: Server yang merespons permintaan otentikasi keamanan di dalam domain Windows.

  • SSL/TLS: Protokol keamanan untuk mengenkripsi komunikasi antar komputer di jaringan.

Comments

Post a Comment

Popular posts from this blog

Apa itu Link Aggregation?

Image
1. What Is Link Aggregation? Link Aggregation (sering disebut EtherChannel di perangkat Cisco) adalah teknologi yang menggabungkan beberapa kabel jaringan fisik menjadi satu jalur logika tunggal . Bayangkan kamu punya jalan raya satu jalur yang sering macet. Daripada membangun jalan baru di tempat lain, kamu memperlebar jalan tersebut menjadi empat jalur. Kendaraan (data) sekarang bisa lewat lebih banyak secara bersamaan, dan jika satu jalur ditutup karena perbaikan, kendaraan masih bisa lewat jalur lainnya. 2. Kenapa Kita Butuh Link Aggregation? Dalam topologi jaringan, ada dua alasan utama: Bandwidth Lebih Besar: Jika kamu menggabungkan 4 kabel Gigabit Ethernet, kamu secara teori mendapatkan jalur sebesar 4 Gbps. Redundansi (Backup): Jika satu kabel putus atau rusak, koneksi tidak akan mati. Trafik akan otomatis pindah ke kabel yang masih sehat tanpa memutus koneksi (High Availability). Menghindari Loop (STP): Biasanya, kalau kamu colok dua kabel di antara dua switch, Spanning T...
Read more

Apa Itu Port Security di Switch Cisco

Image
Halo, Junior. Balik lagi sama gua. Lu udah masuk ke materi yang sangat krusial di level akses, yaitu Port Security . Kalau lu nggak paham barang ini, jaringan kantor lu bisa acak-acakan cuma gara-gara ada karyawan iseng bawa router sendiri dari rumah terus dicolok ke tembok. Simak baik-baik, ini adalah benteng pertahanan pertama kita di Physical Layer . Pengertian Port Security adalah fitur keamanan pada switch Cisco yang berfungsi untuk membatasi akses pada sebuah port berdasarkan alamat MAC Address perangkat yang terhubung. Dengan fitur ini, lu bisa nentuin siapa aja yang boleh colok dan apa yang terjadi kalau ada "orang asing" yang mencoba masuk. Konsep Konsep utamanya adalah Filtering MAC . Switch bakal mencatat MAC Address yang masuk ke port tersebut. Lu bisa mengatur jumlah maksimal perangkat (misal cuma boleh 1 PC) dan metode pendaftarannya: Static : Lu ketik manual MAC Address-nya (Capek kalau port-nya banyak). Dynamic : Siapa yang colok duluan, dia yang dapet a...
Read more