Panduan ADFS Federation dengan Entra ID

By Mirko Peters · 2026-04-30 · Updated 2026-09-13

Pahami federasi AD FS, SSO, relasi kepercayaan, dan keamanannya, lalu pelajari migrasi dari AD FS ke Microsoft Entra ID serta masalah umum saat troubleshooting.

Automatically translated with AI from the original post. Read the English original

Cover: Fix Microsoft Entra ID Conditional Access and Identity Debt

Federasi dengan Active Directory Federation Services (AD FS) memegang peran sentral dalam cara organisasi modern mengelola identitas digital dan single sign-on (SSO). Seiring bertumbuhnya bisnis dan berkembangnya kebutuhan, terutama dengan maraknya aplikasi cloud dan platform kolaborasi, memahami AD FS menjadi semakin penting. Panduan ini menjelaskan apa yang dilakukan AD FS, bagaimana posisinya dalam ekosistem Microsoft yang lebih luas, dan mengapa peralihan ke solusi canggih seperti Entra ID dan Azure AD mengubah lanskap autentikasi di perusahaan.

Mulai dari konsep dasar seperti federated identity hingga strategi migrasi yang terperinci dan praktik terbaik keamanan, Anda akan mendapatkan gambaran menyeluruh tentang cara kerja AD FS, serta hal-hal yang perlu diketahui saat merencanakan perpindahan ke identitas cloud modern. Baik Anda sedang melakukan troubleshooting pada penerapan yang sudah ada maupun merancang pendekatan baru, sumber ini membantu Anda mengambil keputusan yang tepat dan menjaga autentikasi tetap kuat.

Dasar-Dasar Active Directory Federation Services

Active Directory Federation Services (AD FS) berada di pusat cara banyak organisasi menghubungkan berbagai sistem autentikasi, terutama ketika Anda memiliki campuran resource on-premises dan layanan cloud. Konsep intinya sederhana: federated identity memungkinkan pengguna mengakses aplikasi di luar lingkungan asalnya dengan kredensial yang sudah mereka kenal. Intinya adalah merobohkan dinding digital antara organisasi dan layanan, sehingga akses menjadi lebih aman dan lebih efisien bagi semua pihak yang terlibat.

Bayangkan Anda memiliki mitra, vendor, atau tim jarak jauh yang perlu bekerja pada sistem Anda, tetapi Anda tidak ingin membagikan banyak username dan password tambahan. AD FS hadir dengan membangun "jembatan tepercaya" sehingga pengguna tersebut dapat masuk seolah-olah mereka berada di lingkungan sendiri. Ini adalah jawaban Microsoft atas pertanyaan lama "bagaimana kita berbagi resource tanpa mengorbankan keamanan?", didukung oleh berbagai kemampuan teknis seperti standar SAML dan OAuth.

Jika Anda baru mulai mempelajari identity federation, atau sudah bertahun-tahun mengelola relasi kepercayaan domain, bagian berikut ini menjadi fondasinya. Kita akan membahas apa sebenarnya yang dilakukan AD FS, mengapa teknologi ini tetap relevan, dan bagaimana ia berkembang seiring realitas enterprise cloud dan hybrid. Detailnya akan dibahas pada bagian-bagian berikutnya, tetapi untuk saat ini, ketahuilah bahwa AD FS adalah titik awal Anda untuk autentikasi lintas batas yang aman di lingkungan yang banyak menggunakan Microsoft.

Apa Itu Active Directory Federation dan Bagaimana Cara Kerjanya?

Active Directory Federation Services (AD FS) adalah alat yang dikembangkan Microsoft untuk memungkinkan autentikasi yang aman dan mulus lintas batas organisasi dan domain. Pada intinya, AD FS menerapkan "federated identity", yang berarti pengguna Anda dapat mengakses sistem, aplikasi, atau layanan yang tidak dikelola oleh domain Anda, dengan tetap menggunakan kredensial normal mereka. Dengan demikian, tidak ada yang perlu mengingat belasan password atau berganti-ganti login hanya untuk menyelesaikan pekerjaan.

Lalu bagaimana caranya? AD FS menggunakan protokol standar industri seperti SAML (Security Assertion Markup Language) dan OAuth untuk membangun relasi tepercaya, yang sering disebut "federated trusts", antara organisasi Anda (identity provider) dan aplikasi eksternal atau mitra mana pun (relying parties). Kuncinya ada pada autentikasi berbasis klaim: setelah memverifikasi pengguna, AD FS menerbitkan "security token" yang berisi klaim (pada dasarnya detail tentang identitas dan hak akses pengguna). Aplikasi tujuan akan memeriksa token tersebut dan mengizinkan pengguna masuk jika semuanya valid.

Secara historis, AD FS membantu perusahaan besar menghadirkan single sign-on (SSO) untuk aplikasi on-premises maupun resource cloud seperti Office 365. Pada masa ketika direktori cloud-native seperti Entra ID belum umum, AD FS menjadi jembatan yang menjaga autentikasi tetap lancar, bahkan melintasi batas perusahaan. Saat ini, AD FS tetap menjadi komponen fundamental untuk penerapan hybrid, meskipun banyak organisasi kini mulai merencanakan langkah menuju solusi identitas berbasis cloud demi fleksibilitas dan keamanan yang lebih baik.

Komponen Inti Arsitektur AD FS

Federation Server: Mesin utama AD FS yang melakukan autentikasi pengguna, menerbitkan token berbasis klaim, dan menangani relasi kepercayaan dengan relying parties.
Web Application Proxy (WAP): Berperan sebagai gateway yang menyediakan akses proxy aman bagi pengguna eksternal serta melindungi server federasi dari paparan langsung ke internet.
Claims Provider: Menyediakan data identitas pengguna, yang sering diambil dari Active Directory, untuk diteruskan ke proses pembuatan token dan penerbitan klaim.
Relying Party Trust: Mewakili aplikasi atau sistem eksternal yang menggunakan dan memvalidasi token AD FS; menentukan bagaimana klaim ditransformasi dan pengguna mana yang diberi otorisasi.
Domain Controller: Mengautentikasi pengguna terhadap Active Directory, memastikan kredensial valid sebelum token diterbitkan.

Alur Autentikasi ADFS dan Federated Trust Dijelaskan

Dalam hal single sign-on dan akses aman, AD FS unggul karena membuat autentikasi terasa sederhana bagi pengguna akhir, meskipun sisi back end-nya cukup kompleks. Inti dari hal ini terletak pada cara AD FS menangani alur autentikasi dan federated trust. Semuanya berkaitan dengan pemindahan kredensial, token, dan klaim secara aman dan efisien, mulai dari saat pengguna mencoba masuk hingga ia benar-benar mencapai aplikasi atau sumber daya tujuannya.

Di sinilah detail protokol (seperti SAML, WS-Federation, dan OAuth) benar-benar terasa manfaatnya. Prosesnya berjalan cepat: memvalidasi kredensial pengguna, menerbitkan klaim, mentransformasi atribut, dan mengirimkan token yang tepat ke sistem yang tepat. Sepanjang proses ini, hubungan federated trust memastikan bahwa kedua organisasi yang terlibat dapat yakin siapa yang masuk melalui pintu digital mereka.

Selanjutnya, kita akan memetakan perjalanan autentikasi AD FS yang umum langkah demi langkah, lalu membahas cara federated trust dikonfigurasi agar dua organisasi yang sepenuhnya terpisah dapat memberikan akses lintas perusahaan yang aman tanpa perlu khawatir berlebihan. Memahami konsep-konsep ini membekali para profesional TI dan tim keamanan, mulai dari membangun federasi yang aman hingga memecahkan masalah akses atau klaim yang membandel di kemudian hari.

Memahami Alur Autentikasi ADFS

Pengguna Mengakses Aplikasi: Pengguna mencoba membuka aplikasi yang terfederasi. Jika aplikasi berada di luar jaringan, permintaan akan melewati Web Application Proxy terlebih dahulu; permintaan internal langsung menuju AD FS.
Permintaan Autentikasi Dikirim: Relying party aplikasi mengarahkan ulang browser pengguna ke server AD FS dengan permintaan autentikasi, termasuk sumber daya yang ingin diakses pengguna.
Validasi Kredensial: AD FS meminta pengguna untuk masuk (menggunakan kredensial Windows, formulir, MFA, atau sertifikat) dan memeriksa detail tersebut dengan domain controller Active Directory.
Pembuatan Klaim: Setelah tervalidasi, AD FS membuat token berbasis klaim. Token ini memuat atribut tentang pengguna, seperti nama pengguna, keanggotaan grup, atau email, berdasarkan aturan yang telah dikonfigurasi sebelumnya.
Penerbitan Token: Token klaim ditandatangani secara aman oleh AD FS dan dikembalikan ke browser pengguna.
Aplikasi Memvalidasi Token: Browser meneruskan token ke aplikasi tujuan, yang memverifikasi keasliannya menggunakan bagian publik dari sertifikat AD FS.
Akses Diberikan: Jika token, klaim, dan aturan semuanya sesuai, aplikasi akhirnya mengizinkan pengguna masuk tanpa meminta kata sandi lagi.

Alur langkah demi langkah ini berlaku untuk SSO yang umum, baik pengguna berasal dari internal maupun masuk melalui mitra federasi. Logika serupa juga berlaku untuk OAuth (yang populer di aplikasi SaaS), sehingga AD FS fleksibel menangani berbagai skenario dan protokol autentikasi.

Membangun Federated Trust Antarorganisasi

Menyiapkan federated trust di AD FS berarti membuat hubungan di mana dua organisasi sepakat untuk saling menerima token autentikasi satu sama lain. Secara teknis, ini melibatkan konfigurasi setiap sisi agar mengenali pihak lain sebagai claims provider atau relying party tepercaya. Sertifikat SSL dipertukarkan untuk mengamankan komunikasi, dan kebijakan kepercayaan kustom diatur untuk menentukan klaim mana yang diterima serta bagaimana identitas pengguna dipetakan.

Penyiapan trust yang benar menjadi fondasi SSO yang aman dan mulus bagi mitra bisnis, vendor, atau anak perusahaan, sehingga kolaborasi dapat berjalan tanpa menurunkan standar keamanan organisasi.

Pertimbangan Keamanan dan Praktik Terbaik untuk Penerapan AD FS

Setiap kali membahas federasi dan SSO, keamanan menjadi prioritas utama. Bagaimanapun, satu pelanggaran atau kesalahan konfigurasi kepercayaan bisa menyebar dengan cepat. Dengan AD FS, fokusnya adalah melindungi seluruh alur penerbitan token, memastikan hanya orang yang tepat yang dapat melakukan autentikasi, dan menjaga penyerang tetap jauh dari sumber daya paling berharga Anda.

Ancamannya mencakup berbagai hal, mulai dari phishing kredensial dan pencurian token hingga serangan denial-of-service dan upaya brute force. Anda memerlukan pertahanan yang kuat di setiap tahap: mulai dari kebijakan autentikasi yang ketat hingga alur token yang terenkripsi, serta dari patching rutin hingga pemantauan real-time. Keamanan berlapis seperti ini tidak hanya menjaga penyusup tetap di luar, tetapi juga membantu organisasi tetap memenuhi persyaratan audit dan tata kelola.

Pada bagian berikutnya, kita akan membahas pertahanan AD FS yang dapat langsung diterapkan, menyoroti vektor serangan paling umum beserta strategi mitigasinya, dan merangkum praktik terbaik yang telah terbukti untuk konfigurasi yang aman, audit berkelanjutan, serta integrasi dengan program keamanan dan tata kelola yang lebih luas. Jika Anda menginginkan strategi praktis untuk mengurangi risiko, termasuk pelajaran dari lingkungan Entra ID dan Azure Microsoft, lanjutkan membaca. Dan jika Anda ingin tahu bagaimana identitas, akses bersyarat, dan tata kelola bekerja bersama di cloud, simak episode ini tentang strategi keamanan identitas untuk wawasan yang lebih dalam.

Mengamankan Penerbitan Token dan Autentikasi di AD FS

Terapkan Kebijakan Kata Sandi dan Kredensial yang Ketat: Atur kata sandi yang kompleks dan aturan kedaluwarsa yang ketat untuk mengurangi paparan kredensial yang lemah.
Aktifkan Autentikasi Multi-Faktor (MFA): Tambahkan langkah verifikasi kedua (seperti kode telepon atau token perangkat keras) untuk memblokir login tidak sah, bahkan jika kata sandi telah bocor.
Gunakan Saluran Token yang Aman dan Terenkripsi: Wajibkan SSL/TLS untuk semua pertukaran token, dan pastikan token ditandatangani serta dienkripsi untuk mencegah manipulasi atau penyadapan.
Batasi Masa Berlaku Token: Gunakan token berumur pendek untuk membatasi jendela serangan jika token dicuri atau diputar ulang.

Untuk konteks tambahan tentang pencegahan serangan yang bahkan dapat melewati MFA, seperti penyalahgunaan persetujuan OAuth, pelajari kontrol esensial untuk mengamankan Entra ID ini.

Pertimbangan Keamanan Utama dan Mitigasi Ancaman

Phishing Kredensial: Latih pengguna untuk mengenali phishing, dan wajibkan MFA untuk melindungi pada titik login.
Replay dan Pencurian Token: Gunakan masa berlaku token yang singkat dan validasi token secara berkelanjutan untuk membatasi kerusakan dari token yang disadap.
Serangan Denial-of-Service (DoS): Terapkan server AD FS dan proxy dalam konfigurasi ketersediaan tinggi, serta batasi paparan ke jaringan yang tidak tepercaya.
Manajemen Patch: Perbarui secara rutin semua AD FS dan sistem terkait untuk menutup kerentanan sebelum dieksploitasi penyerang.
Audit dan Pemantauan: Terapkan logging dan pemantauan yang andal untuk mendeteksi aktivitas mencurigakan lebih awal; untuk pendekatan zero trust yang lebih luas, lihat episode podcast Zero Trust ini.

Praktik Terbaik untuk Penerapan dan Pemantauan AD FS

Redundansi dan Penyeimbangan Beban: Terapkan beberapa server federasi dan proxy untuk menghilangkan titik kegagalan tunggal dan mendukung volume pengguna yang tinggi.
Pemantauan Berkelanjutan: Gunakan log audit, pemantauan event, dan peringatan real-time untuk menandai pola mencurigakan dengan cepat.
Audit Keamanan Berkala: Tinjau konfigurasi dan hubungan kepercayaan untuk mendeteksi penyimpangan atau celah; tetap ikuti perubahan praktik terbaik.
Integrasi dengan Platform Keamanan Cloud: Hubungkan log dan event AD FS dengan alat SIEM seperti Microsoft Sentinel atau Microsoft Purview Audit untuk deteksi risiko terpadu dan pelaporan kepatuhan.
Manajemen Siklus Hidup: Perbarui token, sertifikat, dan pengaturan kebijakan secara rutin untuk meminimalkan "utang identitas" dan risiko teknis.

Keterbatasan ADFS dan Masalah Troubleshooting di Organisasi Modern

Meskipun AD FS banyak membantu organisasi menghubungkan sistem dan pengguna di masa lalu, teknologi ini jelas membawa sejumlah tantangan di era modern. Jika Anda pernah mengelola infrastruktur AD FS, Anda tentu sudah paham seluk-beluknya: ada biaya pemeliharaan, konfigurasi kepercayaan (trust) yang rumit, dan pembaruan yang muncul di saat yang paling tidak terduga. Ditambah lingkungan cloud yang berkembang pesat, cara-cara lama pun mulai terasa cukup rapuh.

Keterbatasan ini tidak hanya bersifat teknis, tetapi juga bisa berubah menjadi risiko bisnis. Pikirkan tentang keandalan autentikasi, seberapa mudah Anda dapat melakukan penskalaan, dan seberapa cepat Anda dapat beradaptasi ketika kebutuhan SaaS berikutnya datang. Titik-titik krusial inilah yang mendorong lebih banyak tim untuk melirik identitas berbasis cloud seperti Entra ID. Namun sebelum melakukan perpindahan besar, penting untuk mengetahui apa saja yang perlu diwaspadai dan apa yang harus dilakukan ketika sesuatu rusak di lanskap AD FS Anda.

Selanjutnya, kita akan membahas keterbatasan utama yang menghambat AD FS bagi perusahaan masa kini, serta menguraikan langkah-langkah pemecahan masalah praktis untuk isu-isu yang paling mungkin dihadapi helpdesk Anda. Menguasai dasar-dasar ini dapat memberi Anda waktu dan kepercayaan diri yang sangat berharga, baik ketika Anda sedang menjaga operasional tetap berjalan maupun saat mempersiapkan migrasi.

Keterbatasan Utama AD FS untuk Autentikasi Perusahaan

Beban Pemeliharaan Tinggi: Implementasi AD FS memerlukan patching, pemantauan, dan perawatan perangkat keras yang terus-menerus, sehingga biaya operasional meningkat.
Integrasi Cloud Terbatas: AD FS lama tidak dapat menandingi integrasi native yang mendalam dengan SaaS atau keamanan cloud-native yang tersedia di Entra ID atau Azure AD.
Konfigurasi Rumit: Menyiapkan skenario multi-forest atau lintas domain menghadirkan lebih banyak komponen yang harus dikelola dan lebih banyak peluang terjadinya salah konfigurasi.
Tantangan Skalabilitas: Pertumbuhan jumlah pengguna atau kebutuhan akses global sering kali memerlukan server tambahan dan pengaturan jaringan yang lebih canggih.

Pemecahan Masalah Umum AD FS

Kegagalan Autentikasi: Periksa izin akun layanan, konektivitas ke domain controller, dan percobaan logon yang gagal di log peristiwa AD FS (Event ID 364 menandakan masalah penerbitan token).
Kesalahan Penerbitan Token: Tinjau konfigurasi aturan klaim dan sertifikat—sertifikat yang tidak cocok atau sudah kedaluwarsa sering menjadi penyebab kegagalan.
Relying Party Salah Konfigurasi: Verifikasi endpoint, hubungan kepercayaan, dan transformasi klaim untuk memastikan pemetaan yang benar antar sistem.
Akun Terkunci atau Masalah Kata Sandi: Pastikan sinkronisasi kata sandi dan kebijakan akun konsisten di seluruh forest dan domain.
Pantau Log AD FS: Gunakan Event ID yang relevan (misalnya 100 untuk penerbitan token yang berhasil atau rangkaian 300 untuk masalah konfigurasi) guna menemukan akar masalah dengan cepat.

Migrasi dari AD FS ke Entra ID dan Masa Depan Federasi

Bagi organisasi yang masih bertumpu pada AD FS lama sambil mulai melangkah ke cloud, arah ke depan kini semakin jelas. Solusi identitas berbasis cloud seperti Azure AD dan Entra ID menawarkan autentikasi yang andal, fleksibel, dan lebih aman untuk beban kerja modern, termasuk aplikasi lama yang dulu hanya mengandalkan AD FS. Industri bergerak ke arah ini dengan alasan yang kuat: beban perangkat keras yang lebih ringan, model kepercayaan yang lebih sederhana, dan postur keamanan yang dirancang untuk menghadapi ancaman yang terus berkembang serta tuntutan kepatuhan.

Namun, beralih dari AD FS bukanlah perkara sekali klik. Bermigrasi ke Entra ID (payung merek baru untuk layanan identitas Microsoft) berarti meninjau ulang hubungan kepercayaan, integrasi aplikasi, dan cara kebijakan seperti akses bersyarat dan tata kelola akan berfungsi di dunia baru. Jika dilakukan dengan benar, Anda akan memperoleh kepuasan pengguna yang lebih tinggi serta kontrol yang lebih kuat dan konsisten di seluruh sistem cloud maupun on-premises.

Di bawah ini, Anda akan menemukan perbandingan langsung antara AD FS dan identitas cloud, beserta strategi yang terbukti untuk transisi bertahap yang mulus dan tidak mengganggu pengguna maupun membuka celah keamanan baru. Jika Anda ingin gambaran tentang tantangan risiko dan tata kelola yang menyertai akses bersyarat di Entra ID, pembahasan mendalam tentang security loop identitas ini juga merupakan titik awal yang baik.

AD FS vs Identitas Berbasis Cloud dengan Azure AD dan Entra ID

Keterbatasan AD FS: Kebutuhan perangkat keras on-premises, patching, pengelolaan aturan kepercayaan dan klaim yang kompleks, integrasi cloud/SaaS native yang terbatas, serta respons yang lambat terhadap ancaman keamanan yang baru muncul.
Keunggulan Azure AD dan Entra ID: Integrasi native dengan Microsoft 365, penyiapan yang lebih mudah, conditional access bawaan, onboarding SaaS yang cepat, penerapan kebijakan yang konsisten, serta perlindungan identitas yang lebih baik untuk beban kerja cloud.
Pendorong Strategis Migrasi: Biaya pemeliharaan yang lebih rendah, pengelolaan yang lebih ramping, akses yang dapat diskalakan, dan model keamanan berbasis kebijakan yang menyesuaikan diri seiring pertumbuhan bisnis.

Untuk pembahasan lebih lanjut tentang bagaimana pengecualian dan otorisasi yang menumpuk menciptakan “utang identitas” dan bagaimana tata kelola yang tepat di Entra ID mengubah keamanan identitas cloud, lihat podcast ini tentang identitas sebagai control plane.

Strategi Migrasi untuk Transisi AD FS ke Entra ID yang Mulus

Discovery: Inventarisasi semua relying party trust, aturan klaim, dan aplikasi terintegrasi yang terhubung dengan AD FS; petakan dependensi dan identifikasi beban kerja yang siap dimigrasikan.
Perencanaan: Rancang rencana migrasi bertahap, siapkan Entra ID, dan validasi cloud connector untuk koeksistensi hybrid jika diperlukan.
Koeksistensi: Jalankan AD FS berdampingan dengan Entra ID, secara bertahap memindahkan aplikasi agar melakukan autentikasi ke Azure AD sambil memantau pengalaman pengguna dan log akses.
Cutover: Migrasikan pengguna dan beban kerja terakhir ke Entra ID, hapus trust dan aturan kustom lama, serta pensiunkan infrastruktur AD FS on-premises setelah validasi selesai.
Penyesuaian Pascamigrasi: Tinjau kebijakan conditional access, provisioning pengguna, dan pelaporan di Entra ID untuk menutup siklus dan menyiapkan praktik identitas Anda menghadapi perubahan di masa depan.

Podcast Lain yang Layak Anda Dengarkan

Jika Anda sedang meneliti federasi ADFS dengan Entra ID, episode-episode berikut menambahkan konteks praktis tentang arsitektur, keamanan, tata kelola, dan implementasi:

Microsoft AI Agent Harness – Simply Explained — Memahami orkestrasi, guardrail, evaluasi, dan alur kerja AI yang andal.
Microsoft Defender XDR – Simply Explained — Menghubungkan keputusan identitas dan AI dengan pemantauan dan respons keamanan.
Microsoft Teams Governance – The Illusion of Control — Pelajari bagaimana tata kelola, kepemilikan, dan kebijakan mengurangi risiko operasional.
Azure Virtual Network – Simply Explained — Memahami konteks arsitektur di balik konektivitas cloud.