Cara Efektif Mengelola Service Principal di Entra ID

By Mirko Peters · 2026-03-22 · Updated 2026-03-24

Amankan service principal di Microsoft Entra ID untuk manajemen identitas yang lebih baik. Pelajari objek aplikasi dan service principal di dalam tenant Anda.

Automatically translated with AI from the original post. Read the English original

Mengelola service principal dan pendaftaran aplikasi di Entra ID sangat penting untuk menjaga keamanan dan kontrol akses. Tata kelola yang efektif membantu Anda mencegah insiden keamanan serius, seperti eskalasi hak akses dan kompromi tenant. Misalnya, penyerang dapat memanfaatkan service principal yang dikelola dengan buruk untuk mereset kata sandi admin dan memperoleh akses tidak sah ke sistem penting. Dengan menerapkan praktik pengelolaan yang kuat, Anda dapat memitigasi risiko tersebut dan memastikan lingkungan Anda tetap aman. Langkah utama meliputi memahami service principal, memberikan izin yang sesuai, dan secara rutin meninjau kebijakan akses.

Jika Anda sedang mempelajari cara mengelola service principal di Entra ID secara efektif, fakta-fakta yang kurang dikenal ini dapat mengubah cara Anda mengamankan dan mengoperasikan identitas otomatis.

1. Service principal berbeda dari objek aplikasi: Objek aplikasi adalah definisi aplikasi secara global; service principal adalah identitas lokal di dalam sebuah tenant. Anda dapat memiliki satu objek aplikasi dengan banyak service principal di berbagai tenant.
2. Credential-nya bisa tidak pernah kedaluwarsa: Entra ID memungkinkan pembuatan client secret atau sertifikat tanpa masa berlaku, baik karena desain maupun salah konfigurasi, sehingga meningkatkan risiko jangka panjang jika tidak dirotasi secara manual.
3. Managed identity menggunakan service principal di balik layar: Baik managed identity yang ditetapkan sistem maupun yang ditetapkan pengguna direpresentasikan sebagai service principal di direktori, sehingga kebijakan RBAC dan akses bersyarat dapat diterapkan padanya.
4. Service principal dapat digunakan dalam Akses Bersyarat: Meskipun terutama berfokus pada pengguna, Akses Bersyarat dapat mengevaluasi konteks aplikasi dan beberapa kebijakan dapat berdampak pada service principal, terutama jika dikombinasikan dengan authentication context aplikasi.
5. Service principal mendukung izin delegated dan izin aplikasi secara bersamaan: Satu service principal dapat memiliki izin delegated (atas nama pengguna) sekaligus izin aplikasi (hanya aplikasi), yang menambah kompleksitas dalam penerapan prinsip least privilege.
6. Log masuk mencakup autentikasi aplikasi noninteraktif: Entra ID mencatat log masuk service principal, sehingga aktivitas aplikasi yang tidak wajar dapat dideteksi, tetapi log ini sering terabaikan dibandingkan log masuk pengguna.
7. Manajemen persetujuan dan hak akses dapat menyisakan jalur akses tersembunyi: Aplikasi perusahaan dan service principal yang diberikan melalui persetujuan admin atau manajemen hak akses dapat menciptakan jalur akses tidak langsung yang sulit ditemukan tanpa peninjauan izin dan hak akses secara menyeluruh.

Poin Penting

• Pahami perbedaan antara Pendaftaran Aplikasi dan Service Principal di Entra ID.
• Pastikan Anda memiliki izin yang tepat sebelum mengelola service principal agar tidak terhambat.
• Ikuti proses yang jelas untuk mendaftarkan aplikasi di Entra ID, termasuk mengisi detail yang diperlukan.
• Gunakan beberapa metode autentikasi untuk meningkatkan keamanan aplikasi Anda.
• Terapkan Role-Based Access Control (RBAC) untuk memberikan izin yang sesuai kepada service principal.
• Tinjau kebijakan akses secara rutin untuk memastikan kebijakan tersebut selaras dengan praktik keamanan terbaik.
• Lakukan audit untuk memantau perubahan serta mendeteksi akses atau aktivitas yang tidak sah.
• Terapkan prinsip least privilege dengan hanya memberikan izin yang diperlukan kepada service principal.

Prasyarat untuk Pengelolaan Entra ID

Memahami Service Principal

Sebelum Anda mengelola service principal di Entra ID, Anda perlu memahami beberapa konsep dasar. Berikut poin-poin kunci yang perlu dipahami:

• Application Registration (App) adalah objek unik secara global yang merepresentasikan sebuah aplikasi di Entra ID.
• Service Principal (SP) adalah instans spesifik dari objek aplikasi tersebut dalam satu tenant.
• Saat Anda membuat pendaftaran aplikasi, sistem otomatis membuat service principal di penyewa yang sama.
• Service principal memiliki kredensial dan otorisasi sendiri, yang berbeda dari objek aplikasi.
• Tindakan yang dilakukan di penyewa, misalnya membuat pengguna, dijalankan oleh Service Principal.

Portal Entra ID bisa membingungkan. Service principal muncul di bawah "Aplikasi perusahaan", dan istilah 'Service Principal' jarang digunakan. Hal ini dapat menimbulkan kesalahpahaman tentang hubungan antara pendaftaran aplikasi dan service principal.

Izin yang Diperlukan

Untuk mengelola service principal secara efektif, Anda memerlukan izin yang tepat. Berikut ringkasan prasyarat penting:

Dengan memiliki izin ini, Anda dapat melakukan tindakan yang diperlukan tanpa terhambat. Selalu pastikan akun Anda memiliki izin yang dibutuhkan sebelum melanjutkan pendaftaran aplikasi atau penetapan peran.

Dengan memahami prasyarat ini, Anda telah membangun fondasi yang kokoh untuk mengelola service principal di Entra ID. Pengetahuan ini akan membantu Anda memahami kompleksitas manajemen akses dan meningkatkan postur keamanan organisasi Anda.

Pendaftaran Aplikasi di Entra ID

Langkah-Langkah Mendaftarkan Aplikasi

Mendaftarkan aplikasi di Entra ID merupakan proses yang sederhana. Ikuti langkah-langkah berikut untuk memulai:

1. Masuk ke Portal Entra ID: Gunakan akun Microsoft Entra Anda untuk mengakses portal.
2. Buka Pendaftaran aplikasi: Di menu sebelah kiri, pilih "Pendaftaran aplikasi."
3. Klik Pendaftaran baru: Opsi ini memungkinkan Anda membuat aplikasi baru.
4. Isi Detail Aplikasi:
   • Nama: Pilih nama unik untuk aplikasi Anda.
   • Jenis Akun yang Didukung: Pilih siapa saja yang dapat menggunakan aplikasi (misalnya, hanya akun dalam direktori organisasi ini).
   • URI Pengalihan: Tentukan URI tempat pengguna akan dialihkan setelah autentikasi. Ini sangat penting untuk aplikasi web.
5. Tinjau dan Daftarkan: Setelah mengisi informasi yang diperlukan, klik "Daftarkan" untuk membuat aplikasi.

Setelah terdaftar, Anda dapat membuat hingga 50.000 sumber daya Microsoft Entra dalam satu penyewa dengan edisi Gratis. Jika Anda memverifikasi domain, batas ini dapat meningkat menjadi 300.000 sumber daya. Anda juga dapat mengonfigurasi kredensial untuk maksimal 48 aplikasi menggunakan single sign-on berbasis kata sandi.

Mengonfigurasi Pengaturan Aplikasi

Setelah mendaftarkan aplikasi, Anda perlu mengonfigurasi pengaturannya agar keamanan dan fungsinya optimal. Berikut beberapa praktik terbaik yang perlu diikuti:

1. Konfigurasi Beberapa Metode Autentikasi Entra ID: Gunakan berbagai metode autentikasi, seperti autentikasi multifaktor (MFA) dan autentikasi tanpa kata sandi, untuk meningkatkan keamanan.
2. Manfaatkan Grup Entra ID untuk Menetapkan Izin: Buat grup pengguna untuk mengelola kontrol akses secara efektif. Ini memastikan pengguna hanya memiliki izin yang diperlukan.
3. Gunakan Kebijakan Akses Bersyarat (CAP): Terapkan CAP untuk menentukan kondisi akses ke sumber daya. Ini menambah lapisan keamanan melalui kontrol yang lebih granular.

Selain itu, pertimbangkan untuk melakukan inventarisasi aplikasi. Identifikasi dan catat semua aplikasi yang terhubung dengan Entra untuk pengelolaan yang efektif. Tinjau secara berkala izin yang diberikan ke setiap aplikasi untuk mendukung strategi keamanan Anda. Hapus aplikasi yang tidak digunakan untuk mengurangi permukaan serangan Anda.

Dengan mengikuti langkah-langkah dan praktik terbaik ini, Anda dapat memastikan aplikasi Anda terkonfigurasi dengan baik dan aman di dalam Entra ID.

Penetapan Peran untuk Service Principal

Ikhtisar RBAC

Role-Based Access Control (RBAC) adalah fitur penting di Entra ID. Fitur ini membantu Anda mengelola siapa yang dapat mengakses sumber daya apa dalam organisasi Anda. Dengan RBAC, Anda dapat menetapkan peran ke service principal, sehingga mereka memiliki izin yang tepat untuk menjalankan tugasnya tanpa mengorbankan keamanan.

Di Entra ID, terdapat dua jenis definisi peran:

• Peran Bawaan: Peran ini memiliki kumpulan izin yang tetap. Anda tidak dapat mengubahnya, tetapi peran ini mencakup skenario yang umum.
• Peran Kustom: Peran ini memungkinkan Anda menyesuaikan izin sesuai kebutuhan spesifik. Membuat peran kustom melibatkan proses dua langkah: mendefinisikan peran dan menetapkannya.

Memahami jenis peran ini membantu Anda memilih pendekatan yang tepat untuk aplikasi Anda. Untuk informasi selengkapnya tentang RBAC, Anda dapat mempelajari ikhtisar role-based access control.

Menetapkan Peran

Menetapkan peran ke service principal sangat penting untuk pengelolaan yang efektif. Ikuti langkah-langkah berikut untuk menetapkan peran dengan benar:

1. Buat Penetapan Peran: Gunakan Microsoft Entra admin center, Microsoft Graph PowerShell, atau Microsoft Graph API. Perlu diperhatikan bahwa Azure CLI tidak didukung untuk tugas ini.
2. Daftarkan Aplikasi Anda: Pastikan Anda sudah mendaftarkan aplikasi Microsoft Entra dan membuat service principal melalui Azure portal.
3. Pilih Peran yang Tepat: Tinjau peran yang tersedia untuk menentukan peran mana yang memberikan izin yang diperlukan aplikasi Anda.

Berikut tabel referensi cepat yang merangkum proses penetapan peran:

Dengan mengikuti langkah-langkah ini, Anda dapat memastikan service principal Anda memiliki akses yang sesuai untuk menjalankan fungsinya secara aman. Penetapan peran yang tepat tidak hanya meningkatkan keamanan, tetapi juga menyederhanakan operasi di dalam organisasi Anda.

Metode Autentikasi untuk Entra ID

Ikhtisar Autentikasi

Saat mengelola service principal di Entra ID, Anda memiliki dua metode autentikasi utama untuk dipilih: autentikasi client secret dan autentikasi berbasis sertifikat. Setiap metode memiliki kelebihan dan kasus penggunaannya masing-masing.

Autentikasi Client Secret

Autentikasi client secret menggunakan string menyerupai kata sandi yang dikenal sebagai client secret. Metode ini sederhana dan sering digunakan untuk aplikasi yang membutuhkan penyiapan cepat. Namun, penting untuk memperlakukan client secret seperti kata sandi. Simpan secara aman dan rotasi secara berkala untuk menjaga keamanan.

• Kelebihan:

  • Mudah diimplementasikan.
  • Cocok untuk lingkungan pengujian dan pengembangan.

• Kekurangan:

  • Kurang aman dibandingkan autentikasi berbasis sertifikat.
  • Rentan terhadap paparan jika tidak dikelola dengan baik.

Autentikasi Berbasis Sertifikat

Autentikasi berbasis sertifikat menggunakan sertifikat digital untuk mengautentikasi service principal. Metode ini lebih aman daripada client secret dan direkomendasikan untuk lingkungan produksi. Gunakan sertifikat tepercaya yang diterbitkan oleh certificate authority (CA) untuk keamanan yang optimal. Sertifikat self-signed dapat digunakan untuk pengujian, tetapi tidak direkomendasikan untuk produksi.

• Kelebihan:

  • Tingkat keamanan lebih tinggi.
  • Mengurangi risiko pencurian kredensial.

• Kekurangan:

  • Lebih rumit untuk dikonfigurasi.
  • Memerlukan pengelolaan sertifikat.

Mengonfigurasi Autentikasi

Untuk mengonfigurasi autentikasi untuk service principal Anda di Entra ID, ikuti langkah-langkah berikut:

1. Buka halaman Beranda di Microsoft Entra admin center.
2. Buka Entra ID > App registrations, lalu pilih aplikasi Anda.
3. Pada halaman ikhtisar aplikasi, salin nilai Directory (tenant) ID dan simpan di kode aplikasi Anda.
4. Salin nilai Application (client) ID dan simpan di kode aplikasi Anda.
5. Pilih antara autentikasi berbasis sertifikat atau client secret. Disarankan untuk mengunggah sertifikat tepercaya yang diterbitkan oleh certificate authority.
6. Jika menggunakan sertifikat, unggah melalui Entra ID > App registrations > Certificates & secrets > Upload certificate.
7. Jika menggunakan client secret, buat melalui Entra ID > App registrations > Certificates & secrets > Client secrets > New client secret.

Dengan mengikuti langkah-langkah ini, Anda dapat memastikan bahwa service principal Anda terautentikasi dengan aman, sehingga dapat mengakses sumber daya yang dibutuhkan sekaligus meminimalkan risiko keamanan.

Kebijakan Akses di Entra ID

Memahami Kebijakan Akses

Kebijakan akses di Entra ID memegang peran penting dalam mengamankan aplikasi dan data Anda. Kebijakan ini menentukan siapa yang dapat mengakses sumber daya tertentu dan dalam kondisi apa. Berikut beberapa jenis kebijakan akses utama yang perlu Anda ketahui:

• Wajibkan MFA untuk sign-in berisiko: Kebijakan ini meminta pengguna menyelesaikan autentikasi multi-faktor ketika sebuah sign-in terlihat mencurigakan.
• Blokir atau perbaiki akun yang telah disusupi: Kebijakan ini secara otomatis membatasi akses ke akun yang menunjukkan tanda-tanda telah disusupi.

Menerapkan kebijakan akses ini memperkuat postur keamanan Anda. Kebijakan tersebut membantu Anda mengelola risiko secara efektif dengan mengotomatisasi respons terhadap potensi ancaman. Misalnya, kebijakan Conditional Access mengevaluasi faktor seperti identitas pengguna, kepatuhan perangkat, dan sinyal risiko real-time sebelum memberikan akses. Pendekatan proaktif ini tidak hanya meningkatkan keamanan, tetapi juga memastikan kepatuhan terhadap standar organisasi.

Mengonfigurasi Kebijakan Akses

Mengonfigurasi kebijakan akses untuk service principal di Entra ID cukup sederhana. Ikuti langkah-langkah berikut untuk menyiapkan kebijakan Anda secara efektif:

1. Masuk ke Microsoft Entra admin center dan buka Entra ID » Enterprise apps.
2. Klik service principal yang ingin Anda batasi, lalu buka Properties di bawah tab Manage.
3. Atur Enabled for users to sign-in? ke No, lalu klik Save untuk menonaktifkan sign-in pengguna ke aplikasi.
4. Untuk membuat kebijakan Conditional Access, masuk ke Microsoft Entra admin center dan buka Entra ID » Conditional Access.
5. Klik +Create new policy dan masukkan nama untuk kebijakan tersebut.
6. Di bagian Assignments, buka Users or workload identities.
7. Pilih Workload identities pada bagian What does this policy apply to. Di bagian Include, klik Select service principals lalu pilih service principal yang sesuai dari daftar.
8. Pada bagian Target resources, buka Include dan pilih All resources (formerly 'All Cloud apps').
9. Di bagian Conditions, konfigurasikan persyaratan spesifik untuk menentukan kapan kebijakan harus dipicu.
10. Di bagian Access controls, buka 'Grant', pilih Block access lalu klik 'Select'.
11. Atur Enable policy ke On lalu klik 'Create' untuk membuat kebijakan Conditional Access bagi identitas workload Microsoft Entra.

Dengan mengikuti langkah-langkah ini, Anda dapat memastikan service principal Anda beroperasi di bawah kontrol akses yang ketat. Hal ini tidak hanya melindungi sumber daya Anda, tetapi juga sejalan dengan praktik terbaik untuk keamanan dan kepatuhan.

Praktik Terbaik untuk Service Principal

Rekomendasi Keamanan

Untuk melindungi service principal Anda di Entra ID, ikuti rekomendasi keamanan berikut:

• Gunakan sertifikat klien, bukan rahasia klien, untuk keamanan yang lebih baik.
• Manfaatkan Azure Key Vault untuk mengelola sertifikat dan rahasia secara aman.
• Terapkan akses hak istimewa minimum untuk service principal. Artinya, hanya berikan izin yang diperlukan untuk tugas mereka.
• Pantau sign-in service principal melalui log sign-in Microsoft Entra. Hal ini membantu Anda mendeteksi aktivitas yang tidak biasa.
• Gunakan Conditional Access untuk membatasi akses dari lokasi yang tidak tepercaya. Ini menambah lapisan keamanan ekstra.
• Tinjau secara berkala keanggotaan peran Tier 0 untuk memastikan tingkat hak istimewa yang sesuai. Hal ini mencegah akses tidak sah ke sumber daya penting.

Dengan menerapkan praktik-praktik ini, Anda dapat meningkatkan keamanan service principal secara signifikan dan mengurangi risiko akses tidak sah.

Audit Berkala

Melakukan audit secara berkala sangat penting untuk menjaga keamanan dan integritas service principal Anda. Berikut beberapa praktik audit umum yang sebaiknya Anda terapkan:

Audit berkala membantu Anda tetap mengetahui status service principal Anda. Audit memungkinkan Anda mendeteksi perubahan tidak sah atau aktivitas mencurigakan sejak dini, sehingga lingkungan Anda tetap aman.

Dengan mengikuti praktik terbaik ini, Anda dapat mengelola service principal di Entra ID secara efektif, sekaligus meningkatkan keamanan dan kepatuhan.

Singkatnya, mengelola service principal di Entra ID secara efektif melibatkan beberapa langkah utama dan praktik terbaik. Anda sebaiknya:

• Mendaftarkan aplikasi dengan benar dan mengonfigurasi pengaturannya.
• Menetapkan peran berdasarkan prinsip hak akses minimum.
• Menerapkan metode autentikasi yang kuat.
• Meninjau kebijakan akses dan izin secara berkala.

Pengelolaan yang berkelanjutan sangat penting. Kemudahan layanan mandiri meningkatkan kebutuhan akan pengelolaan akses yang lebih baik. Peninjauan berkala membantu menjaga kendali atas hak akses. Setiap akun tamu sebaiknya memiliki pemilik internal yang bertanggung jawab atas pembenaran akses secara berkelanjutan. Dengan menerapkan strategi ini, Anda dapat meningkatkan keamanan dan memastikan tata kelola service principal yang efektif.

Daftar periksa ini membantu Anda menerapkan praktik terbaik untuk mengelola service principal di Entra ID secara efektif.

• Inventaris dan penemuan: Identifikasi semua service principal di seluruh penyewa dan langganan (buat pemindaian/laporan berulang).
• Petakan ke aplikasi dan pemilik: Hubungkan setiap service principal dengan aplikasi terkait, pemilik bisnis, dan kontak dukungan.
• Klasifikasikan akses dan tujuan: Dokumentasikan tujuan, lingkungan (produksi/pengembangan/pengujian), dan izin yang diperlukan untuk setiap service principal.
• Prinsip hak akses minimum: Audit peran dan izin yang ditetapkan; hapus atau kurangi izin hingga batas minimum yang diperlukan.
• Utamakan identitas terkelola: Ganti pendaftaran aplikasi/service principal dengan identitas terkelola bila memungkinkan untuk sumber daya Azure.
• Kelola kredensial dengan baik: Hindari kredensial berumur panjang; utamakan sertifikat dibanding rahasia klien dan rotasi kredensial secara berkala.
• Terapkan kebijakan kredensial: Terapkan akses bersyarat (conditional access) dan kebijakan kata sandi/rahasia Azure AD untuk kredensial aplikasi jika berlaku.
• Wajibkan MFA/akses bersyarat untuk penggunaan interaktif: Blokir atau batasi kredensial yang memungkinkan masuk interaktif kecuali benar-benar diperlukan dan terlindungi.
• Aktifkan akses Just-In-Time (JIT) atau akses berbatas waktu: Berikan peran berhak istimewa tinggi kepada service principal secara terbatas waktu jika memungkinkan.
• Konvensi penamaan dan metadata: Terapkan standar penamaan yang jelas dan beri tag pada service principal dengan metadata lingkungan, pemilik, dan tanggal kedaluwarsa.
• Kebijakan kedaluwarsa dan siklus hidup: Tetapkan masa berlaku untuk rahasia/sertifikat dan otomatiskan siklus hidupnya (penyediaan, pembaruan, pencabutan, penghapusan penyediaan).
• Nonaktifkan service principal yang tidak digunakan: Nonaktifkan atau hapus service principal yang tidak digunakan dalam periode yang ditetapkan setelah dikonfirmasi bersama pemiliknya.
• Pantau sign-in dan penggunaan berisiko: Aktifkan pencatatan log dan peringatan untuk sign-in yang anomali, aktivitas risiko tinggi, dan eskalasi hak akses.
• Pencatatan log terpusat dan integrasi SIEM: Alirkan log audit, peristiwa sign-in, dan perubahan penyediaan ke SIEM Anda untuk korelasi dan retensi.
• Tinjauan akses dan audit berkala: Lakukan tinjauan akses secara rutin untuk memvalidasi kebutuhan dan persetujuan pemilik untuk setiap service principal.
• Perkuat API dan izin: Gunakan izin delegated dengan cakupan terbatas atau cakupan app-only yang didefinisikan secara sempit.
• Amankan penyimpanan rahasia: Simpan rahasia klien dan sertifikat di Azure Key Vault atau brankas setara; batasi akses brankas hanya kepada principal yang memerlukannya.
• Remediasi otomatis: Terapkan playbook otomatis untuk menonaktifkan service principal yang disusupi atau kedaluwarsa serta untuk merotasi kredensial.
• Penegakan kebijakan: Gunakan Azure AD / Entra ID Conditional Access, Microsoft Entra permissions management, dan Azure Policy untuk menegakkan standar.
• Dokumentasi dan runbook: Pelihara runbook untuk prosedur penyediaan, rotasi kredensial darurat, dan penghapusan penyediaan.
• Uji akses dan failover: Validasi alur autentikasi aplikasi setelah rotasi kredensial atau perubahan konfigurasi di lingkungan non-produksi.
• Onboarding/offboarding yang aman: Integrasikan penyediaan dan penghapusan penyediaan service principal ke dalam proses CI/CD dan change control.
• Akun layanan dengan hak minimum untuk otomatisasi: Gunakan service principal khusus untuk tugas otomatisasi dengan hak yang dibatasi ketat dan kepemilikan yang jelas.
• Tinjau akses eksternal/tamu: Audit service principal yang dibuat oleh aplikasi eksternal dan berikan akses hanya setelah tinjauan keamanan.
• Pertahankan bukti kepatuhan: Catat persetujuan, tinjauan, dan peristiwa rotasi untuk menunjukkan kepatuhan terhadap persyaratan internal maupun eksternal.
• Latih tim dan pemilik: Edukasi pemilik aplikasi dan pengembang tentang cara mengelola service principal di Entra ID secara efektif serta praktik kredensial yang aman.

FAQ: sumber daya tambahan service principal Microsoft Entra ID

Apa itu service principal Microsoft Entra ID dan apa bedanya dengan objek aplikasi?

Service principal Microsoft Entra ID adalah representasi lokal dari sebuah instance aplikasi di dalam penyewa atau direktori; service principal dibuat di setiap penyewa tempat aplikasi digunakan dan mengacu pada objek aplikasi yang bersifat unik secara global (objek aplikasi berada di penyewa asal). Objek aplikasi mendefinisikan aplikasi secara global, sedangkan service principal menentukan kebijakan akses dan apa saja yang dapat dilakukan aplikasi tersebut di penyewa tertentu.

Bagaimana service principal dibuat dan kapan service principal dibuat?

Service principal biasanya dibuat secara otomatis ketika Anda mendaftarkan aplikasi Microsoft Entra dan instance aplikasi digunakan di sebuah penyewa, atau ketika pengguna memberikan persetujuan izin untuk aplikasi multi-penyewa. Anda juga dapat membuatnya secara manual melalui portal Azure, Microsoft Graph, atau otomatisasi ketika aplikasi di-deploy ke penyewa yang membutuhkan akses ke sumber daya yang diamankan.

Apa saja praktik terbaik untuk mengamankan service principal di Microsoft Entra?

Amankan service principal dengan memberikan izin hak minimum, merotasi dan melindungi kredensial (kata sandi dan sertifikat), menggunakan managed identity jika memungkinkan, menerapkan kebijakan akses bersyarat, memantau log sign-in dan audit, serta mengecualikan principal berisiko tinggi melalui kontrol akses berbasis filter. Manfaatkan service principal dengan akses bersyarat untuk mewajibkan perangkat yang patuh atau MFA saat mengakses sumber daya sensitif.

Bagaimana cara mengelola kredensial seperti kata sandi dan sertifikat untuk service principal?

Simpan kata sandi dan sertifikat di penyimpanan yang aman (Key Vault), atur kebijakan kedaluwarsa, gunakan autentikasi berbasis sertifikat bila memungkinkan, dan otomatiskan rotasinya menggunakan Microsoft Graph atau pipeline CI/CD. Untuk kredensial berumur panjang, terapkan peringatan untuk masa kedaluwarsa yang akan datang dan terapkan skema serta kebijakan untuk mencegah rahasia yang usang atau tidak aman.

Bagaimana saya bisa menggunakan Microsoft Graph untuk melakukan kueri dan mengelola service principal dengan otomatisasi?

Gunakan Microsoft Graph API untuk menampilkan, memfilter, membuat, memperbarui, dan menghapus objek service principal Microsoft Entra ID. Anda dapat melakukan kueri dengan filter untuk menemukan principal berdasarkan appId, displayName, atau owner, mengelola izin yang telah disetujui, menetapkan owner, serta mengotomatiskan sinkronisasi service principal di berbagai lingkungan dengan skrip atau konektor yang mereferensikan globally unique identifier.

Apa peran penetapan owner, dan bagaimana sebaiknya kepemilikan ditangani?

Menetapkan owner memberikan kontrol administratif yang didelegasikan atas service principal, sehingga owner dapat mengelola kredensial dan izin. Gunakan akses berbasis peran dan beberapa owner demi kelangsungan bisnis, audit perubahan owner, dan hindari menetapkan hak owner ke akun pengguna yang tidak terikat pada identitas jangka panjang; lebih baik gunakan tim atau akun layanan yang dibatasi oleh kebijakan.

Bagaimana sinkronisasi dan pertimbangan penyewa atau direktori memengaruhi service principal?

Skenario sinkronisasi, seperti menyinkronkan enterprise app atau identitas lintas penyewa, dapat membuat service principal di penyewa target. Pahami apakah aplikasi bersifat single-tenant atau multi-tenant, penyewa asal tempat aplikasi didaftarkan, dan apakah pengguna dari penyewa tersebut harus memberikan persetujuan. Rencanakan sinkronisasi untuk menghindari service principal ganda dan gunakan pemfilteran untuk mengecualikan objek yang tidak diperlukan.

Kapan saya sebaiknya menggunakan managed identity alih-alih service principal yang dibuat sendiri?

Gunakan managed identity ketika workload berjalan di Azure dan dapat memanfaatkan identitas yang dikelola platform untuk memperoleh token tanpa kredensial tertanam. Managed identity mengurangi kebutuhan mengelola kata sandi, menyederhanakan pembaruan keamanan, dan merupakan opsi yang direkomendasikan untuk mengamankan service principal dalam skenario Microsoft jika didukung.

Bagaimana saya dapat mengaudit dan memecahkan masalah akses ke resource yang diamankan oleh service principal?

Aktifkan dan tinjau sign-in log dan audit log di Microsoft Entra ID dan Azure AD, gunakan Microsoft Graph untuk mengambil peristiwa, terapkan filter untuk mempersempit hasil, dan integrasikan log dengan SIEM. Untuk dukungan teknis atau masalah yang kompleks, kumpulkan objectId service principal, appId, stempel waktu, dan pesan kesalahan sebelum menghubungi dukungan, atau gunakan Microsoft Learn dan sumber tambahan untuk memandu investigasi.