Autentikasi Multifaktor dan Akses Bersyarat

Kredensial yang dicuri merupakan penyebab utama pelanggaran keamanan cloud. Kata sandi saja dapat dicuri melalui phishing, ditebak dengan serangan brute force, atau bocor dalam pelanggaran keamanan pihak ketiga. Multi-Factor Authentication (MFA) memerlukan faktor verifikasi kedua yang kemungkinan besar tidak dimiliki penyerang, bahkan setelah memperoleh kata sandi — sehingga risiko akses tanpa izin ke lingkungan Azure Anda berkurang drastis.

Entra ID mendukung berbagai faktor verifikasi MFA. Pilihan yang paling aman dan direkomendasikan adalah aplikasi Microsoft Authenticator, yang menyediakan pencocokan angka dan notifikasi push. Pilihan lainnya mencakup kunci keamanan FIDO2 (token perangkat keras), token OATH perangkat lunak, pesan teks SMS, atau panggilan suara. SMS dan panggilan suara dianggap kurang aman dan hanya boleh digunakan sebagai opsi cadangan.

MFA di Entra ID dapat diterapkan melalui tiga mekanisme. Security defaults adalah opsi gratis sekali klik yang menerapkan MFA untuk semua pengguna, tetapi tanpa penyesuaian. MFA per pengguna (warisan) mengaktifkan MFA pada akun pengguna tertentu. Pendekatan modern yang direkomendasikan adalah Conditional Access policies (Entra ID P1/P2), yang menerapkan MFA hanya ketika kondisi risiko tertentu terpenuhi, sehingga mengurangi gangguan bagi pengguna saat masuk dengan risiko rendah.

Conditional Access (Entra ID P1) adalah mesin kebijakan jika-maka: jika pengguna (atau grup) mencoba mengakses sumber daya dalam kondisi tertentu, maka berikan akses, blokir akses, atau minta kontrol tambahan seperti MFA atau perangkat yang memenuhi persyaratan. Kondisi dapat mencakup identitas pengguna, kepatuhan perangkat, lokasi IP, aplikasi yang diakses, dan skor risiko Entra ID Identity Protection.

Kebijakan Conditional Access memiliki dua bagian: Penetapan (siapa dan apa yang dikenai kebijakan) serta Kontrol Akses (hal yang terjadi saat kebijakan terpicu). Penetapan menentukan Pengguna/grup, Aplikasi cloud yang diakses, dan Kondisi (lokasi, platform perangkat, risiko masuk). Kontrol Akses menentukan apakah akses akan Diberikan (dengan opsi mewajibkan MFA, perangkat yang memenuhi persyaratan, atau aplikasi yang disetujui) atau sepenuhnya Diblokir.

Lokasi bernama Conditional Access memungkinkan Anda menentukan rentang IP tepercaya (seperti jaringan kantor perusahaan) atau negara. Pola kebijakan yang umum adalah: wajibkan MFA saat pengguna masuk dari luar lokasi bernama yang tepercaya, tetapi izinkan akses langsung saat masuk dari IP kantor yang dikenal. Hal ini mengurangi gangguan bagi karyawan di kantor sekaligus memperkuat keamanan bagi pengguna jarak jauh atau yang sedang bepergian.

Conditional Access dapat mewajibkan perangkat yang mengakses agar memenuhi persyaratan (memenuhi kebijakan kepatuhan perangkat Intune) atau merupakan perangkat perusahaan hybrid Azure AD joined. Dengan demikian, meskipun kredensial valid, proses masuk dari perangkat pribadi atau perangkat yang tidak dikelola akan diblokir atau diwajibkan memenuhi kontrol tambahan. Kontrol berbasis perangkat merupakan pilar utama model keamanan Zero Trust.

Entra ID Identity Protection (P2) menggunakan pembelajaran mesin untuk mengevaluasi setiap proses masuk dan menetapkan skor risiko: rendah, sedang, atau tinggi. Faktor risiko mencakup perjalanan mustahil (masuk dari dua negara dalam hitungan menit), IP anonim, kredensial yang bocor, dan deteksi penyebaran kata sandi. Kebijakan Conditional Access dapat terpicu berdasarkan tingkat risiko — misalnya, mewajibkan MFA untuk risiko sedang dan secara otomatis memblokir akses untuk risiko tinggi.

Sebelum menerapkan kebijakan Conditional Access, Anda dapat mengaturnya ke mode Report-Only. Dalam mode ini, kebijakan mengevaluasi semua proses masuk dan mencatat hal yang seharusnya terjadi (akses diberikan, diblokir, atau MFA diwajibkan), tetapi tidak benar-benar menerapkan kontrol tersebut. Dengan demikian, Anda dapat memvalidasi dampak kebijakan terhadap pengguna sebelum mengaktifkannya, sehingga mencegah pengguna terkunci secara tidak terduga akibat kondisi yang cakupannya tidak tepat.

Alat What If di bilah Conditional Access memungkinkan Anda menyimulasikan skenario masuk — dengan menentukan pengguna, aplikasi, alamat IP, platform perangkat, dan tingkat risiko — lalu melihat kebijakan mana yang akan berlaku serta hasil gabungannya. Alat ini sangat berguna untuk memecahkan masalah akses dan memvalidasi bahwa kumpulan kebijakan Anda menghasilkan hasil yang diharapkan untuk pengguna dan kondisi tertentu.

Setiap organisasi sebaiknya memiliki setidaknya dua akun akses darurat break-glass yang dikecualikan dari semua kebijakan Conditional Access, termasuk persyaratan MFA. Akun ini hanya digunakan jika infrastruktur MFA gagal atau semua administrator terkunci. Kredensial break-glass harus disimpan di brankas fisik, menggunakan kata sandi acak yang panjang, tidak memiliki MFA terdaftar, dan diaudit secara ketat untuk setiap penggunaannya.

Uji pemahaman Anda tentang konsep Microsoft Azure Fundamentals (AZ-900) dari pelajaran ini.

Dalam pelajaran ini, Anda mempelajari bahwa: MFA memerlukan faktor kedua selain kata sandi sehingga secara drastis mengurangi risiko pencurian kredensial, kebijakan Conditional Access menerapkan kontrol pemberian atau pemblokiran berdasarkan kondisi pengguna, aplikasi, lokasi, dan risiko, serta Identity Protection menggunakan penilaian risiko berbasis ML untuk memicu kontrol akses otomatis. Selanjutnya, kita akan membahas Single Sign-On dan Identitas Eksternal di Entra ID.