Apa yang terjadi jika pengguna mencoba mengakses file melalui aplikasi dengan izin delegated, padahal pengguna tersebut tidak memiliki hak atas file itu?

Aplikasi tersebut juga akan diblokir dari mengakses file itu. Izin delegated meminjam identitas pengguna, sehingga aplikasi tidak pernah dapat melampaui batas akses pribadi pengguna.

Izin Delegated vs Application di Microsoft Entra ID: Yang Perlu Diketahui Admin

Q: Apakah pengguna biasa dapat menyetujui izin application di Microsoft Entra ID?

Tidak. Izin application beroperasi tanpa pengguna yang masuk dan memiliki jangkauan di seluruh penyewa. Oleh karena itu, hanya administrator dengan hak penyewa yang sesuai yang dapat memberikan izin application.

Q: Apa risiko keamanan utama dari izin application?

Karena izin application menjalankan layanan latar belakang tanpa pengawasan manusia, kredensial aplikasi yang disusupi dapat memberi penyerang akses tanpa batas ke kotak surat, file, dan sumber daya di seluruh perusahaan.

By Mirko Peters · 2026-10-28

Pelajari perbedaan penting antara izin delegated dan application di Microsoft Entra ID, termasuk praktik terbaik keamanan dan aturan least privilege.

Automatically translated with AI from the original post. Read the English original

Saat mengintegrasikan alat pihak ketiga atau aplikasi kustom ke lingkungan Microsoft 365 Anda, memahami perbedaan antara izin delegated dan application sangat penting untuk menjaga keamanan cloud, mencegah kebocoran data, dan menerapkan prinsip least privilege di seluruh Microsoft Entra ID.

Poin Penting

Izin delegated memerlukan pengguna yang sudah masuk dan bertindak atas nama mereka, sehingga aplikasi hanya dapat mengakses data yang memang boleh dilihat pengguna tersebut.
Izin application beroperasi tanpa pengguna manusia, memberikan akses luas di seluruh penyewa, dan memerlukan persetujuan administrator.
Prinsip least privilege menuntut agar aplikasi selalu diberi kumpulan izin terkecil yang diperlukan untuk menyelesaikan tugasnya.
Microsoft Graph berperan sebagai pintu terpadu untuk mengakses data Microsoft 365, dan sangat bergantung pada model izin ini.
Memahami perbedaannya mencegah celah keamanan serius, seperti pemberian akses tak terduga ke seluruh penyewa kepada aplikasi pihak ketiga.

Memahami Izin OAuth di Ekosistem Cloud Microsoft

Saat Anda menghubungkan alat produktivitas eksternal atau skrip otomasi internal ke ruang kerja Microsoft 365 Anda, Anda memicu alur kerja OAuth 2.0 di baliknya. Namun, mendapatkan token akses hanyalah separuh dari perjuangan. Batas keamanan yang sebenarnya ditentukan oleh apa yang benar-benar boleh dilakukan token tersebut. Dalam ekosistem identitas Microsoft, yang berpusat pada Microsoft Entra ID (sebelumnya Azure Active Directory), izin dibagi menjadi dua jenis yang sangat berbeda: izin delegated dan izin application.

Mencampuradukkan kedua model ini adalah salah satu jebakan paling umum bagi administrator TI, pengembang, dan power user. Memilih jenis izin yang keliru dapat secara tidak sengaja membuka data seluruh perusahaan atau merusak fungsi aplikasi sepenuhnya. Mari kita bahas cara kerja masing-masing jenis, di mana letaknya, dan cara mengaturnya dengan benar.

Izin Delegated: Bertindak atas Nama Pengguna

Izin delegated dirancang untuk aplikasi yang digunakan oleh pengguna manusia. Saat Anda masuk ke aplikasi seluler atau layanan web menggunakan akun Microsoft Anda, aplikasi tersebut meminjam identitas Anda untuk serangkaian tugas tertentu. Inilah yang disebut izin delegated.

Dalam skenario ini, aplikasi bertindak sebagai Anda. Aplikasi hanya dapat menjangkau data yang memang sudah boleh Anda akses, tidak lebih. Jika akun Anda tidak memiliki izin baca ke folder SharePoint tertentu atau kalender rekan kerja, aplikasi juga tidak dapat mengaksesnya. Karena cakupan dampaknya secara alami dibatasi oleh izin masing-masing pengguna, Microsoft merekomendasikan penggunaan izin delegated setiap kali ada manusia yang terlibat dalam alur kerja.

Cara Izin Delegated Muncul dalam Praktik

Anda berinteraksi dengan izin delegated setiap kali mengklik perintah persetujuan. Asisten penjadwalan mungkin menampilkan layar yang menyatakan bahwa ia ingin membaca kalender Anda. Permintaan itu mewakili scope OAuth tertentu. Karena Anda hadir untuk menyetujui atau menolak permintaan tersebut, Anda bertindak sebagai pemilik sumber daya, mengendalikan secara tepat apa yang boleh dipinjam aplikasi klien dari profil Anda.

Izin Application: Layanan Latar Belakang dan Akses Seluruh Penyewa

Izin aplikasi bekerja dengan paradigma yang sama sekali berbeda. Izin ini dirancang untuk daemon latar belakang, skrip sinkronisasi otomatis, dan layanan backend yang berjalan pukul tiga dini hari ketika tidak ada pengguna yang sedang masuk. Bayangkan alat pelaporan otomatis yang mengagregasi data dari setiap kotak surat di organisasi.

Karena tidak ada pengguna yang hadir untuk memberikan konteks identitas, aplikasi melakukan autentikasi menggunakan kredensialnya sendiri (seperti client ID dan client secret melalui alur client credentials). Akibatnya, izin aplikasi memberi alat tersebut kemampuan untuk bertindak atas namanya sendiri di seluruh organisasi. Jika sebuah aplikasi memiliki izin aplikasi untuk membaca email, aplikasi itu dapat membaca email setiap pengguna di penyewa.

Mengapa Persetujuan Admin Bersifat Wajib

Mengingat besarnya kewenangan yang melekat pada izin aplikasi, pengguna biasa tidak dapat memberikan persetujuan untuk izin tersebut. Karyawan biasa dapat menyetujui izin delegasi untuk kalendernya sendiri, tetapi izin aplikasi memerlukan persetujuan eksplisit dari administrator global atau administrator peran istimewa. Penjagaan ketat ini mencegah aplikasi berbahaya atau yang ditulis dengan buruk mengambil data seluruh organisasi secara diam-diam.

Microsoft Graph dan Peran Scope OAuth

Baik aplikasi menggunakan izin delegasi maupun izin aplikasi, pada akhirnya permintaannya diarahkan melalui satu gerbang yang sangat kuat: Microsoft Graph. Setiap obrolan tim, dokumen SharePoint, file OneDrive, dan email Outlook dapat dijangkau melalui Microsoft Graph, asalkan aplikasi pemanggil menyajikan token akses OAuth yang valid.

Pagar pengaman yang menjaga agar token ini tetap jujur disebut scope. Scope adalah label presisi yang tertanam dalam token dan menjabarkan batasan yang tepat, misalnya membaca kalender dibandingkan dengan mengirim email. Ketika pengembang meminta scope yang terlalu luas (misalnya meminta akses baca dan tulis padahal akses baca sederhana sudah cukup), mereka melanggar praktik keamanan inti. Administrator harus memeriksa scope ini dengan cermat selama tinjauan pendaftaran aplikasi.

Menerapkan Prinsip Hak Akses Minimum di Penyewa Anda

Praktik keamanan terbaik di Microsoft Entra ID selalu kembali pada satu aturan emas: prinsip hak akses minimum. Setiap aplikasi, service principal, dan skrip otomatisasi harus diberi tingkat akses paling minimal yang diperlukan untuk menyelesaikan tugasnya.

Selalu utamakan izin delegasi daripada izin aplikasi setiap kali pengguna manusia berinteraksi dengan aplikasi.
Teliti permintaan persetujuan dengan saksama untuk memastikan aplikasi tidak meminta scope yang tidak perlu.
Tinjau secara berkala aplikasi perusahaan yang terdaftar di Microsoft Entra ID untuk mencabut token yatim atau pendaftaran aplikasi yang tidak digunakan.
Pastikan ada pengawasan administratif untuk setiap alur client credentials yang beroperasi di lingkungan tanpa antarmuka (headless).

Kesimpulan

Memahami mekanisme identitas cloud modern menuntut kita untuk melihat melampaui tombol masuk sederhana dan memeriksa struktur izin di baliknya. Baik Anda mengelola aplikasi seluler yang menghadap pengguna dengan scope delegasi maupun otomatisasi perusahaan berskala besar yang bergantung pada izin aplikasi, memahami batasan ini sangat penting untuk lingkungan Microsoft 365 yang aman.

Untuk menyelami lebih dalam dasar-dasar cara kerja "jabat tangan" ini, dengarkan episode lengkapnya di podcast untuk penjelasan tanpa jargon tentang OAuth 2.0, siklus hidup token, dan keempat pihak dalam setiap jabat tangan.

Pertanyaan Umum

Dapatkah pengguna biasa menyetujui izin aplikasi di Microsoft Entra ID?

Tidak. Izin aplikasi beroperasi tanpa pengguna yang sedang masuk dan memiliki jangkauan di seluruh penyewa. Oleh karena itu, hanya administrator dengan hak penyewa yang sesuai yang dapat memberikan izin aplikasi.

Apa yang terjadi jika pengguna mencoba mengakses file melalui aplikasi dengan izin delegasi, padahal pengguna tersebut tidak memiliki hak atas file itu?

Aplikasi tersebut juga akan diblokir dari mengakses file itu. Izin delegasi meminjam identitas pengguna, sehingga aplikasi tidak akan pernah dapat melampaui batas akses pribadi pengguna.

Apa risiko keamanan utama dari izin aplikasi?

Karena izin aplikasi menjalankan layanan latar belakang tanpa pengawasan manusia, kredensial aplikasi yang disusupi dapat memberi penyerang akses tanpa batas ke kotak surat, file, dan sumber daya di seluruh perusahaan.

Bagaimana Microsoft Graph berinteraksi dengan token OAuth dan izin?

Microsoft Graph berfungsi sebagai gerbang API untuk Microsoft 365. Setiap permintaan ke Graph harus membawa token akses OAuth yang memuat cakupan tertentu, yang menentukan apakah izin yang diberikan bersifat delegasi atau aplikasi.