Panduan Unit Administratif Microsoft Entra

By Mirko Peters · 2026-04-30 · Updated 2026-07-18

Pelajari unit administratif Microsoft Entra dengan panduan praktis tentang keamanan, tata kelola, kontrol akses, implementasi, dan penggunaan di dunia nyata.

Automatically translated with AI from the original post. Read the English original

Jika Anda mengelola organisasi besar yang menggunakan Microsoft 365 atau Azure, keadaan bisa cepat menjadi kacau. Unit administratif, disingkat AU, di Microsoft Entra ID berperan seperti ketua ronda lingkungan untuk jalan-jalan digital di dalam tenant Anda. AU membantu Anda membagi basis pengguna menjadi bagian-bagian, sehingga admin lokal bisa diberi kontrol yang cukup untuk mengelola wilayahnya, tetapi tidak untuk seluruh kota.

Ini merupakan peningkatan besar bagi organisasi yang berupaya menyeimbangkan keamanan, kepatuhan, dan efisiensi. Alih-alih hak admin yang sama untuk semua pihak, AU memastikan orang yang tepat mengelola pengguna yang tepat, tidak lebih dan tidak kurang. Saat Anda membaca lebih lanjut, Anda akan melihat bagaimana AU berbeda dari grup dan OU klasik, serta bagaimana AU memudahkan pekerjaan sekaligus menjaga tata kelola tetap ketat. Apakah Anda mencari penentuan cakupan peran yang lebih baik, segmentasi tenant, atau sekadar pekerjaan yang lebih tertata, memahami unit administratif di Entra ID layak untuk Anda luangkan waktu.

Apa Itu Unit Administratif di Microsoft Entra ID?

Unit administratif (AU) di Microsoft Entra ID adalah wadah khusus yang dirancang untuk merapikan pengelolaan dalam skala besar. Anggap saja sebagai batas digital: Anda dapat menugaskan admin ke batas tersebut sehingga mereka hanya mengelola pengguna atau grup yang berada di dalam pagar tersebut.

Setelah AU dibuat, Anda dapat mendelegasikan hak admin, seperti User Administrator atau Helpdesk Admin, hanya untuk pengguna atau grup di dalam unit tersebut. Dengan begitu, tim IT lokal tetap fokus pada staf mereka sendiri tanpa ikut campur di tempat lain. Intinya adalah mendesentralisasikan kontrol, tetapi tanpa membuka semua pintu sekaligus.

Hal ini sangat membantu di organisasi besar atau kompleks, seperti sekolah, perusahaan multinasional, dan instansi pemerintah, di mana Anda tidak ingin admin di New Jersey menangani reset kata sandi untuk pengguna di Tokyo. Anda memberi mereka batasan yang jelas, dan semua orang tetap berada di jalurnya masing-masing.

Berbeda dengan OU tradisional di Active Directory on-premises, AU hanya ada di cloud Microsoft dan fokus pada pembatasan izin admin. AU juga tidak sama dengan grup keamanan atau grup Microsoft 365, yang terutama digunakan untuk akses ke aplikasi dan sumber daya, bukan untuk hak admin. Kesimpulan utamanya? AU membantu Anda mengelola "siapa boleh mengelola apa" langsung di dalam tenant cloud Anda, sehingga administrasi menjadi lebih tepat sasaran dan lebih aman.

Perbedaan Unit Administratif Azure dengan Grup dan OU

• Unit Administratif (AU): Dirancang untuk administrasi yang didelegasikan. Membatasi peran admin pada pengguna dan grup tertentu di dalam AU, tetapi tidak memberikan hak akses ke sumber daya seperti file atau kotak surat.
• Grup: Digunakan untuk menetapkan akses aplikasi atau sumber daya (misalnya Teams, SharePoint, lisensi). Grup tidak membatasi atau menentukan batas admin, melainkan hanya keanggotaan untuk izin atau distribusi.
• Unit Organisasi (OU): Konsep dari Active Directory on-premises yang mengatur objek (pengguna, komputer) secara hierarkis untuk penerapan Group Policy. Tidak dirancang untuk delegasi di cloud atau Microsoft 365, dan tidak ada padanan langsung di Entra ID.

Singkatnya: gunakan AU untuk pembatasan admin, grup untuk akses, dan OU untuk pengorganisasian on-premises. Pilih alat yang sesuai dengan kebutuhan.

Implementasi Unit Administratif: Skenario Utama untuk Microsoft 365

Ketika lingkungan Microsoft 365 Anda tersebar di beberapa negara, departemen, atau zona kepatuhan, satu tim admin pusat tidak akan cukup. Di sinilah unit administratif berperan, membantu mengatur konfigurasi yang kompleks tanpa kehilangan kendali atau ketenangan.

Unit administratif memungkinkan Anda mendistribusikan hak istimewa dalam porsi yang tepat, sehingga tim lokal atau kepala departemen dapat menangani reset kata sandi atau keanggotaan grup tepat di tempat yang dibutuhkan. Dengan melakukan segmentasi tenant seperti ini, Anda dapat meningkatkan produktivitas dan mengurangi risiko, karena tidak ada seorang pun yang memiliki akses admin lebih luas daripada yang dibutuhkan.

Tantangan di dunia nyata muncul terus-menerus: misalnya Anda memiliki universitas dengan berbagai fakultas, peritel dengan toko di berbagai negara bagian, atau perusahaan global dengan tim IT regional. Unit administratif menjadi cara utama untuk menentukan siapa yang bertanggung jawab atas bagian mana dari organisasi Anda, sekaligus memastikan kebijakan internal benar-benar diterapkan.

Berikut ini, kita akan membahas beberapa skenario paling umum dan poin keputusan untuk menerapkan unit-unit ini. Anda tidak hanya akan melihat mengapa unit ini penting, tetapi juga bagaimana unit ini membantu mengatasi masalah umum seperti kepatuhan, akses dengan hak minimum, dan otonomi regional.

Kapan Menggunakan Admin Units dalam Skenario Administrasi yang Kompleks

• Organisasi dengan Lokasi Tersebar: Tetapkan tim TI regional untuk mengelola pengguna hanya di lokasi mereka (misalnya, Eropa, Asia) tanpa akses ke penyewa global.
• Segmentasi Departemen: Delegasikan hak admin kepada HR, Keuangan, atau fakultas Akademik, dengan izin pengelolaan setiap tim tetap terbatas pada departemennya sendiri.
• Batasan Kepatuhan atau Privasi: Pisahkan pengguna yang tunduk pada regulasi berbeda (seperti GDPR atau HIPAA) ke dalam AU khusus agar batas keamanan dapat diberlakukan.
• Merger dan Akuisisi: Libatkan unit bisnis baru atau perusahaan yang diakuisisi dan biarkan mereka mengelola sendiri, tanpa membuka akses ke seluruh lingkungan Anda.
• Pendidikan dan Distrik Sekolah: Berikan kendali kepada administrator sekolah hanya atas siswa dan staf di kampus mereka, sehingga data sekolah lain tetap di luar jangkauan.

Menggunakan Azure Administrative Units untuk Mengelola Segmentasi Penyewa Microsoft 365

• Administrasi Terdesentralisasi: AU memungkinkan Anda menugaskan admin lokal hanya kepada orang atau grup yang mereka kenal. Tidak perlu lagi admin global untuk tugas sehari-hari. Ini membantu mencegah "terlalu banyak juru masak di dapur."
• Batas Keamanan yang Jelas: Dengan menyegmentasikan penyewa menggunakan AU, Anda dapat membangun batas yang selaras dengan departemen, wilayah, atau badan hukum, masing-masing dengan hak admin yang disesuaikan.
• Kepatuhan Menjadi Lebih Mudah: Karena tim TI hanya melihat pengguna dalam cakupan mereka, jauh lebih mudah untuk lolos audit, menerapkan prinsip hak akses minimum, dan membatasi risiko paparan data.
• Pemecahan Masalah yang Lebih Sederhana: Admin lokal dapat mereset kata sandi, mengelola lisensi, atau menyesuaikan keanggotaan tanpa mengganggu data tim lain, sehingga pengelolaan harian berjalan lebih lancar.
• Mendukung Strategi Tata Kelola: Untuk strategi lanjutan seputar RBAC, PIM, dan penegakan kebijakan, lihat ulasan ini tentang praktik terbaik tata kelola Azure dan RBAC untuk tips praktis.

Cara Menyiapkan Administrative Units di Microsoft Entra ID

Menerapkan administrative units di Microsoft Entra ID dimulai dengan satu gagasan yang jelas: siapa yang ingin Anda kelola, dan siapa yang Anda percaya untuk mengelolanya? Setelah itu terpetakan, menyiapkan AU dimulai dengan membuat unitnya, kemudian mengisinya dengan pengguna atau grup yang tepat, dan terakhir menetapkan peran admin dengan tingkat kendali yang sesuai.

Anda dapat membuat AU langsung di Azure Portal, yang menawarkan alur bertahap yang intuitif. Untuk organisasi yang lebih besar atau lebih dinamis, Anda dapat mengasah keterampilan otomatisasi dengan Microsoft Graph API, sehingga skrip dapat menangani pekerjaan berat.

Dari sana, yang penting adalah memasukkan orang ke AU yang tepat, satu per satu jika perlu, atau secara massal jika Anda bekerja dalam skala besar. Keanggotaan grup dapat dikelola secara langsung atau dinamis, tetapi perangkat dan sumber daya (seperti situs SharePoint) memiliki beberapa batasan yang perlu diperhatikan, yang akan kami bahas sebentar lagi.

Terakhir, Anda perlu menetapkan peran admin menggunakan model Azure AD klasik atau melalui Privileged Identity Management (PIM) untuk akses just-in-time dan kemampuan audit. Bagian berikutnya akan menguraikan setiap langkah agar Anda siap membangun, mengamankan, dan mendelegasikan dengan percaya diri.

Membuat dan Mengonfigurasi Admin Units di Microsoft 365

• Akses Azure Portal: Buka Microsoft Entra ID, pilih Administrative Units, lalu klik "+ New administrative unit" untuk memulai alur penyiapan.
• Beri Nama, Deskripsikan, dan Pilih Cakupan: Berikan AU Anda nama yang jelas dan deskriptif (misalnya, "APAC Sales Admins"). Anda juga dapat menambahkan deskripsi untuk admin di masa mendatang.
• Tambahkan Anggota: Anda dapat langsung menetapkan pengguna atau grup sebagai anggota. Tentukan siapa yang dikelola dalam AU ini, karena admin hanya memengaruhi orang-orang tersebut.
• Opsi untuk Otomatisasi: Lebih suka kode? Gunakan Microsoft Graph API untuk membuat, memperbarui, dan mengelola AU dalam alur kerja massal atau otomatis. Skrip memudahkan perubahan dalam skala besar dan mengurangi kesalahan.
• Periksa Tabrakan Keanggotaan: Hindari keanggotaan yang tumpang tindih antar-AU jika Anda menginginkan cakupan yang ketat. Pengguna hanya dapat dikelola dalam satu AU untuk konteks peran tertentu.

Menetapkan Pengguna dan Grup ke Administrative Units

• Penugasan Langsung: Tambahkan pengguna atau grup secara manual melalui Azure Portal (Users > Add member) agar menjadi objek yang dikelola di AU Anda.
• Grup Dinamis (Ada Batasan): Anda dapat menambahkan grup dinamis sebagai anggota AU, tetapi AU saat ini tidak dapat menerapkan aturan dinamis secara native. Aturan grup dinamis berada di grup, bukan di AU.
• Impor Massal: Untuk organisasi besar, gunakan PowerShell atau Graph API untuk menetapkan banyak pengguna dan grup secara efisien. Cara ini menghemat waktu dan menjaga konsistensi.
• Tinjau Keanggotaan Secara Berkala: Atur pemeriksaan berkala untuk menghapus akun yatim dan memastikan pengguna masih berada dalam cakupan yang tepat. Situasi selalu berubah, jadi pastikan batasan Anda tetap relevan.
• Penyertaan Perangkat: Saat ini, perangkat (seperti laptop dan ponsel) tidak dapat menjadi anggota AU. Pengelolaan AU hanya mencakup pengguna dan grup, bukan perangkat keras atau sumber daya lainnya.

Menetapkan Peran kepada Admin dengan Privileged Identity Management

• Penetapan Peran per AU: Dari dalam AU, tetapkan peran seperti User Administrator, Groups Administrator, atau Helpdesk Admin agar admin yang didelegasikan hanya memiliki kewenangan di dalam AU tersebut.
• Manfaatkan PIM untuk Akses JIT: Gunakan Privileged Identity Management (PIM) Azure AD untuk memberikan akses admin just-in-time (JIT). Artinya, peran dapat diaktifkan sementara sehingga mengurangi risiko "selalu aktif".
• Jalankan Alur Kerja Persetujuan: Atur persetujuan PIM agar akses admin memerlukan persetujuan tambahan. Fitur ini sangat membantu untuk lingkungan dengan kepatuhan atau keamanan tinggi.
• Pantau dan Audit Akses: Pantau siapa yang mengaktifkan peran apa dan kapan. Hubungkan log audit ke Microsoft Sentinel atau gunakan Purview Audit untuk pelacakan aktivitas pengguna secara forensik di seluruh M365. Langkah ini memperkaya tata kelola dan memperkuat strategi keamanan Anda.
• Tinjau Penetapan Hak Istimewa: Tinjau kembali peran yang telah diberikan secara berkala. Hapus hak istimewa yang sudah usang atau tidak diperlukan untuk mencegah privilege creep dan memperkuat prinsip least-privilege.

Persyaratan Administratif, Lisensi, dan Batasan

Sebelum Anda mulai memecah penyewa menjadi bagian-bagian kecil dengan AU, ada sejumlah prasyarat dan batasan yang perlu dipertimbangkan. Tidak semua langganan Microsoft 365 sama. Penggunaan AU umumnya memerlukan lisensi Azure AD Premium P1 untuk pengguna sasaran maupun admin yang ditetapkan.

Fungsinya cukup andal untuk pengguna dan grup, tetapi mulai menunjukkan keterbatasan pada perangkat, situs SharePoint, atau sumber daya lainnya. AU saat ini tidak dirancang untuk mengelola perangkat keras atau memberikan akses sumber daya yang terperinci. Penetapan lisensi dan beberapa fitur pengelolaan properti juga memiliki batasan, sehingga lingkungan yang besar atau sering berubah mungkin memerlukan solusi alternatif.

Hierarki menjadi kendala lain. Berbeda dengan OU di Active Directory klasik, AU bersifat datar. Tidak ada struktur bersarang atau hubungan induk-anak, sehingga segmentasi perlu dirancang tanpa lapisan kompleksitas tersebut (atau fleksibilitas, tergantung sudut pandang Anda).

Saat kita membahas detailnya di bawah ini, Anda akan melihat batas fungsional AU. Dengan begitu, Anda dapat menetapkan ekspektasi yang realistis bagi staf TI maupun pemangku kepentingan bisnis.

Batasan Administratif Utama: Hierarki, Perangkat, dan SharePoint

• Tanpa Struktur Hierarkis: AU bersifat datar. Tidak ada konsep bersarang atau organisasi induk-anak. Misalnya, Anda tidak dapat membuat AU "Amerika Utara" dengan AU anak untuk setiap negara bagian atau provinsi. Setiap AU berdiri sendiri.
• Celah Pengelolaan Perangkat: Perangkat seperti laptop, ponsel, atau printer tidak dapat dikelola langsung dengan AU. Jika Anda memerlukan cakupan di tingkat perangkat, solusi lain atau kebijakan Intune mungkin diperlukan.
• Batasan SharePoint/OneDrive: AU tidak dapat membatasi hak admin atas situs SharePoint atau OneDrive. Pengelolaan tata kelola data di aplikasi tersebut memerlukan strategi terpisah atau alternatif seperti Microsoft Dataverse untuk kebutuhan data yang kompleks.
• Tantangan Penetapan Lisensi: Anda dapat menetapkan lisensi kepada pengguna di dalam AU, tetapi tidak ada otomatisasi bawaan yang dicakup AU, sehingga lebih sulit untuk mengotomatisasi dalam skala besar.
• Pengelolaan Properti: Pembaruan massal atau pelaporan properti pengguna di dalam AU masih terbatas. Anda sering memerlukan alat eksternal, PowerShell, atau Graph API untuk mengisi celah tersebut.

Keamanan, Tata Kelola, dan Alternatif untuk Unit Administratif

Keamanan dan tata kelola tidak berhenti pada pengaturan AU. Itu hanyalah awal. Untuk melindungi penyewa Anda (dan reputasi Anda), Anda perlu memikirkan cara AU dikelola, siapa yang mendapatkan hak delegasi, dan bagaimana akses istimewa dipantau, ditinjau, dan dicabut seiring waktu.

Praktik terbaik mencakup penerapan prinsip hak akses minimum, pemanfaatan alur kerja persetujuan dengan PIM, dan audit setiap penetapan peran. Jangan abaikan pemantauan berkelanjutan. Tinjauan akses istimewa, peringatan atas aktivitas yang tidak wajar, dan pelaporan berkala akan memperkuat kendali Anda atas siapa yang sebenarnya menjalankan lingkungan Anda.

Bagi sebagian organisasi, desain AU yang paling matang sekalipun mungkin belum cukup. Mungkin Anda membutuhkan segmentasi multi-level, kontrol kepatuhan yang lebih mendalam, atau otomatisasi yang lebih canggih. Di situlah solusi alternatif, seperti virtual tenant CoreView, dapat diandalkan. Solusi ini memungkinkan Anda membagi penyewa dengan cara yang belum bisa dijangkau AU.

Untuk pembahasan lebih mendalam tentang penerapan tata kelola yang ketat, termasuk penegakan kebijakan, RBAC, dan pagar pengaman otomatis, silakan simak ulasan strategi tata kelola Azure ini. Dan jika Anda sedang bergulat dengan AI atau otomatisasi, pengamanan izin Copilot dan Graph adalah bacaan wajib untuk tetap patuh di era copilot dan bot.

Implikasi Keamanan yang Tersisa dan Alternatif Virtual Tenant

• Penumpukan Hak Akses (Privilege Creep): Jika hak admin tidak ditinjau, mantan admin atau karyawan yang sering berpindah pekerjaan dapat mengumpulkan hak akses "zombie", yang merupakan salah satu risiko orang dalam terbesar. Tinjauan rutin dan pencabutan hak akses sangat penting.
• Celah Audit dan Visibilitas: Log audit bawaan mungkin tidak dengan mudah menampilkan siapa mengubah apa di dalam AU tertentu. Untuk pengawasan tingkat perusahaan, hubungkan log Entra ke alat SIEM atau gunakan Microsoft Purview/Sentinel untuk pemantauan yang kuat dan laporan kepatuhan. Episode seperti Agentageddon menjelaskan risiko tertinggal dalam pengauditan AI dan tata kelola di Microsoft 365.
• Keterbatasan Cakupan: AU tidak dapat memisahkan lingkungan lintas cloud atau hibrida secara native. Untuk penyiapan hibrida atau multi-cloud, pertimbangkan alat pihak ketiga atau solusi virtual tenant untuk batasan yang lebih dalam dan tata kelola terpusat.
• Kapan Mempertimbangkan Alternatif: Pertimbangkan solusi seperti virtual tenant CoreView saat Anda membutuhkan segmentasi multi-level, pemetaan kepatuhan, atau otomatisasi alur kerja tingkat lanjut yang melampaui kemampuan AU. Shadow IT dan AI memerlukan pemantauan tingkat lanjut. Lihat analisis Microsoft Foundry dan dasar-dasar Purview ini untuk ide lebih lanjut.

Anda Juga Sebaiknya Mendengarkan

Jika Anda sedang meneliti unit administratif Microsoft Entra, episode-episode berikut menambahkan konteks praktis tentang keamanan identitas, tata kelola, akses istimewa, dan implementasi:

• Microsoft Defender XDR – Simply Explained — Menghubungkan tata kelola identitas dengan sinyal keamanan, investigasi, dan respons.
• Conditional Access – Simply Explained — Pelajari cara kontrol akses berbasis kebijakan menegakkan keputusan identitas.
• Privileged Identity Management – Simply Explained — Pahami akses istimewa just-in-time, persetujuan, dan tinjauan akses.
• Microsoft Teams Governance – The Illusion of Control — Lihat bagaimana tata kelola mengubah izin dan kepemilikan menjadi operasi yang dapat diulang.