Pengguna, Grup, dan Penetapan Peran

Azure Role-Based Access Control (RBAC) adalah sistem otorisasi yang mengatur siapa yang dapat melakukan tindakan apa pada sumber daya Azure. Alih-alih menetapkan izin langsung kepada individu, Anda menetapkan peran kepada entitas keamanan (pengguna, grup, perwakilan layanan, atau identitas terkelola) pada cakupan tertentu. Pemisahan ini membuat izin tetap mudah dikelola seiring pertumbuhan organisasi Anda.

Setiap penetapan RBAC melibatkan tiga komponen. Entitas keamanan adalah pihak yang mendapatkan akses (pengguna, grup, atau identitas terkelola). Definisi peran menentukan tindakan yang diizinkan (misalnya membaca VM atau menulis ke penyimpanan). Cakupan menentukan lokasi berlakunya akses — dari yang paling luas hingga paling sempit: grup manajemen, langganan, grup sumber daya, atau sumber daya individual. Akses diwariskan ke bawah melalui hierarki cakupan.

Azure menyediakan ratusan peran bawaan. Empat peran yang paling umum digunakan di semua jenis sumber daya adalah: Owner — akses penuh, termasuk kemampuan menetapkan peran kepada orang lain; Contributor — akses penuh untuk membuat dan mengelola sumber daya, tetapi tidak dapat memberikan akses kepada orang lain; Reader — akses hanya untuk melihat; dan Administrator Akses Pengguna — dapat mengelola penetapan peran tanpa mengelola sumber daya itu sendiri.

Penetapan peran memberikan entitas keamanan yang ditentukan izin yang didefinisikan dalam definisi peran pada cakupan yang ditentukan. Penetapan peran diterapkan ke semua cakupan turunan — menetapkan Contributor pada tingkat grup sumber daya memberikan akses Contributor ke setiap sumber daya dalam grup tersebut. Penetapan pada tingkat langganan memberikan akses Contributor di semua grup sumber daya dalam langganan itu.

Prinsip hak istimewa minimum menyatakan bahwa setiap identitas hanya boleh memiliki izin minimum yang diperlukan untuk menjalankan tugasnya. Dalam Azure RBAC, artinya: pilih Reader daripada Contributor jika akses tulis tidak diperlukan, pilih cakupan grup sumber daya daripada cakupan langganan, dan gunakan peran khusus tingkat sumber daya (misalnya Storage Blob Data Contributor) alih-alih peran Contributor yang luas jika memungkinkan.

Jika tidak ada peran bawaan yang benar-benar sesuai dengan kebutuhan Anda, Anda dapat membuat peran kustom. Definisi peran kustom menentukan sekumpulan Actions (operasi bidang kontrol yang diizinkan), NotActions (yang dikecualikan dari kumpulan yang diizinkan), DataActions (operasi bidang data pada sumber daya, seperti membaca konten blob), dan AssignableScopes (langganan atau grup manajemen tempat peran dapat ditetapkan).

Menetapkan peran kepada grup, bukan kepada pengguna individual, merupakan praktik terbaik. Saat pengembang baru bergabung dengan DevTeam, Anda menambahkannya ke grup keamanan DevTeam di Entra ID — pengembang tersebut otomatis mewarisi semua penetapan peran yang dimiliki grup, tanpa perubahan Azure RBAC apa pun. Titik pengelolaan tunggal ini mencegah penetapan individual yang tersebar dan sulit diaudit atau dicabut saat pengguna keluar dari organisasi.

Perwakilan layanan adalah identitas yang digunakan oleh aplikasi, skrip, dan alat otomatisasi untuk melakukan autentikasi ke Azure dan mengakses sumber daya. Berbeda dari identitas pengguna, perwakilan layanan tidak memiliki kemampuan untuk masuk secara interaktif. Anda membuatnya dari App Registrations di Entra ID, lalu menetapkan peran RBAC pada cakupan yang sesuai — misalnya memberikan akses Contributor kepada alur CI/CD pada satu grup sumber daya untuk menerapkan infrastruktur.

Penetapan penolakan memblokir tindakan tertentu bagi entitas keamanan meskipun penetapan peran seharusnya mengizinkannya. Berbeda dari penetapan peran, penetapan penolakan tidak dapat dibuat langsung oleh administrator — Azure Blueprints atau aplikasi terkelola yang melampirkannya untuk mencegah pengguna mengubah sumber daya yang dilindungi. Penetapan penolakan memiliki prioritas lebih tinggi daripada penetapan peran yang cocok.

Privileged Identity Management (PIM) adalah fitur Entra ID P2 yang menyediakan akses istimewa tepat saat diperlukan. Alih-alih menetapkan peran Owner atau Global Administrator secara permanen, Anda menjadikan pengguna memenuhi syarat untuk peran tersebut. Saat membutuhkannya, pengguna mengaktifkan penetapan itu untuk jangka waktu terbatas (misalnya 1–8 jam), dengan opsi untuk mewajibkan alur persetujuan dan alasan. Hal ini secara signifikan mengurangi permukaan serangan permanen dari akun dengan hak istimewa berlebihan.

Tinjauan Akses (Entra ID P2) adalah tinjauan otomatis berkala yang meminta pemilik sumber daya atau manajer mengonfirmasi apakah anggota tim mereka masih memerlukan penetapan peran saat ini. Peninjau menyetujui atau menolak kelanjutan akses langsung dari antarmuka tinjauan. Fitur ini mendeteksi izin usang akibat perubahan peran, penyelesaian proyek, atau keluarnya karyawan — persyaratan penting untuk program kepatuhan terhadap peraturan.

Dalam pelajaran ini Anda mempelajari bahwa: Azure RBAC menetapkan peran kepada entitas keamanan pada cakupan tertentu, prinsip hak istimewa minimum berarti memberikan hanya izin minimum yang diperlukan, dan PIM menyediakan aktivasi tepat saat diperlukan untuk peran dengan hak istimewa tinggi, bukan penetapan permanen. Selanjutnya, kita akan membahas Autentikasi Multifaktor dan Akses Bersyarat di Entra ID.