Apakah Microsoft Entra ID dapat menangani SAML dan OIDC secara bersamaan?

Ya, Microsoft Entra ID sepenuhnya mendukung kedua protokol tersebut. Organisasi secara rutin menjalankan SAML untuk aplikasi enterprise lama berdampingan dengan OIDC untuk perangkat lunak cloud-native modern, di dalam penyewa yang sama.

SAML vs OpenID Connect: Memilih Protokol yang Tepat untuk Microsoft Entra ID

Q: Kapan organisasi sebaiknya memilih OpenID Connect dibandingkan SAML?

Organisasi sebaiknya memilih OpenID Connect ketika membangun atau mengintegrasikan aplikasi web modern, single-page application (SPA), dan aplikasi mobile yang membutuhkan pertukaran token yang cepat dan ringan serta implementasi pengembang yang lebih sederhana.

Q: Apakah memilih SAML dibanding OIDC mengorbankan keamanan di Microsoft Entra ID?

Tidak. Kedua protokol aman jika dikonfigurasi dengan benar. Namun, keamanannya sangat bergantung pada autentikasi multi-faktor (MFA) yang andal serta perlindungan token dari pencurian atau pembajakan sesi.

By Mirko Peters · 2026-10-30

Bandingkan protokol SAML dan OpenID Connect (OIDC) di Microsoft Entra ID. Pelajari perbedaan teknis utama, kasus penggunaan, dan kapan harus memilih masing-masing standar.

Automatically translated with AI from the original post. Read the English original

Cover: Single Sign-On (SSO) - Simply Explained

SAML dan OpenID Connect (OIDC) adalah dua protokol autentikasi utama yang menopang single sign-on perusahaan di Microsoft Entra ID. Pemilihan protokol yang tepat bergantung pada usia aplikasi, kebutuhan arsitektur, dan alur kerja pengembang, dengan menyeimbangkan kompatibilitas perangkat lunak enterprise lama dan standar pengembangan cloud-native modern.

Poin Penting

SAML adalah protokol enterprise berbasis XML yang ideal untuk aplikasi lama dan perangkat lunak warisan.
OpenID Connect (OIDC) adalah protokol ringan berbasis JSON yang dibangun di atas OAuth 2.0 dan dirancang untuk aplikasi web dan mobile modern.
Microsoft Entra ID secara native mendukung kedua protokol, sehingga administrator dapat mengamankan alat lama dan modern secara bersamaan.
Pencurian token dan kompromi kredensial merupakan vektor keamanan utama bagi kedua protokol, sehingga diperlukan kebijakan MFA yang andal.
Pemilihan antara SAML dan OIDC bergantung pada kompatibilitas aplikasi, tingkat kemodernan pengembangan, dan aturan kepatuhan perusahaan.

Memahami SAML di Lingkungan Enterprise

Security Assertion Markup Language, yang biasa disebut SAML, telah menjadi tulang punggung sistem login perusahaan selama lebih dari satu dekade. Ketika perusahaan besar membutuhkan cara agar karyawan dapat mengakses puluhan sistem internal maupun eksternal tanpa terus-menerus mengetik kata sandi, SAML menyediakan kerangka kerja yang tangguh untuk menangani integrasi direktori yang kompleks.

Pada intinya, SAML membungkus pesan autentikasi dan asersi pengguna di dalam format XML yang besar dan sangat terstruktur. Meskipun XML sering membuat pengembang mengeluh karena verbositasnya, format ini unggul dalam membawa informasi rinci tentang seorang pengguna dalam jumlah besar. Dalam respons SAML yang khas, token dapat menyampaikan departemen karyawan secara tepat, jabatan, hierarki organisasi, keanggotaan grup keamanan, dan tingkat otorisasi tertentu. Vendor perangkat lunak enterprise besar membangun platform mereka di sekitar kemampuan ini karena departemen TI perusahaan menuntut kontrol izin pengguna yang granular sejak di gerbang login.

Bagi administrator Microsoft Entra ID, SAML sering muncul saat mengintegrasikan aplikasi on-premises yang lebih lama, sistem ERP khusus, atau platform SaaS enterprise yang lahir sebelum era cloud yang mengutamakan perangkat mobile. Jika sebuah sistem lama hanya mendukung SAML, atau jika kerangka kepatuhan yang ketat dan kontrak pengadaan mewajibkan penggunaannya, administrator mengonfigurasi koneksi SAML aplikasi enterprise dari galeri aplikasi untuk menjaga kompatibilitas.

Bangkitnya OpenID Connect untuk Aplikasi Modern

Seiring perangkat lunak beralih dari instalasi desktop monolitik ke aplikasi web berbasis cloud, single-page application (SPA), dan aplikasi mobile, struktur XML SAML yang berat terbukti terlalu merepotkan untuk pengembangan yang cepat. Kondisi inilah yang melahirkan OpenID Connect, yang secara umum disingkat OIDC.

OIDC dibangun langsung di atas OAuth 2.0, dengan memisahkan autentikasi (membuktikan siapa Anda) dari otorisasi (menentukan apa yang boleh Anda akses). Alih-alih file XML yang besar, OIDC mengemas klaim dan informasi identitas ke dalam JSON Web Token (JWT) yang ringkas. Desain yang ringan ini membuat OIDC sangat mudah diintegrasikan oleh pengembang modern ke dalam framework web dan mobile.

Saat Anda menggunakan Microsoft Entra ID untuk masuk ke alat SaaS modern atau aplikasi cloud buatan sendiri, OIDC mengelola pertukaran token di balik layar. Pengembang lebih memilih OIDC karena sesuai secara alami dengan arsitektur web modern, menggunakan lebih sedikit sumber daya jaringan, dan memproses data dengan cepat di lingkungan browser. Panduan default Microsoft untuk pengembangan aplikasi cloud baru secara eksplisit merekomendasikan OIDC karena kelincahannya dan integrasi yang mulus dengan tumpukan pengembangan modern.

Membandingkan Arsitektur SAML dan OIDC

Mengevaluasi SAML versus OpenID Connect membutuhkan lebih dari sekadar melihat akronimnya. Anda perlu memeriksa bagaimana keduanya menangani transmisi data, kompatibilitas aplikasi, dan beban administrasi. Gambaran yang membantu: SAML ibarat dokumen hukum formal yang bercap resmi dan dikirim melalui surat tercatat, sedangkan OIDC menyerupai pesan teks terenkripsi yang dikirim seketika ke perangkat seluler.

Tabel di bawah ini merangkum perbedaan arsitektur utama:

Format Data: SAML menggunakan XML; OIDC menggunakan JSON (JWT).
Kerangka Dasar: SAML berdiri sendiri; OIDC dibangun di atas OAuth 2.0.
Kasus Penggunaan Utama: SAML cocok untuk SaaS perusahaan tradisional dan lama; OIDC mendukung aplikasi web, seluler, dan single-page modern.
Kompleksitas Pengembangan: SAML memerlukan penguraian protokol yang mendalam; OIDC menawarkan integrasi API yang ringan dan intuitif.

Meski ada perbedaan ini, tidak ada protokol yang secara inheren lebih unggul. Keduanya merupakan solusi yang dirancang untuk era pengembangan perangkat lunak yang berbeda. Banyak organisasi memelihara lingkungan hibrida, di mana alat lama mengandalkan SAML sementara aplikasi cloud yang baru diterapkan memanfaatkan OIDC. Keduanya berjalan berdampingan di Microsoft Entra ID tanpa konflik.

Implikasi Keamanan dan Manajemen Token

Terlepas dari apakah organisasi Anda menstandardisasi SAML atau OIDC, postur keamanan dasarnya sepenuhnya bergantung pada validasi token dan manajemen siklus hidupnya. Dalam arsitektur single sign-on modern, aset paling berharga yang dapat diincar penyerang bukan lagi kata sandi statis, melainkan token sesi yang aktif.

Karena token memberikan akses langsung melewati pintu autentikasi tanpa meminta kredensial ulang, penyerang yang canggih memanfaatkan kit phishing dan serangan adversary-in-the-middle untuk mencegat token yang aktif. Untuk memitigasi risiko ini di dalam Microsoft Entra ID, administrator harus menerapkan kebijakan autentikasi multifaktor (MFA) yang kuat, memanfaatkan Conditional Access untuk mengevaluasi kepatuhan perangkat, dan memastikan masa berlaku token dibatasi dengan tepat.

Access token dan ID token sengaja dibuat berumur pendek, sering kali default-nya sekitar satu jam, sehingga aplikasi harus mengandalkan refresh token atau pemeriksaan autentikasi ulang untuk mempertahankan sesi pengguna secara aman. Baik saat menguraikan asersi XML pada SAML maupun memvalidasi klaim JSON pada OIDC, aplikasi harus memverifikasi tanda tangan kriptografis secara cermat terhadap sertifikat penyedia identitas tepercaya untuk mencegah pemalsuan.

Kesimpulan

Memahami seluk-beluk SAML dan OpenID Connect sangat penting bagi setiap arsitek cloud atau administrator TI yang mengelola identitas di Microsoft Entra ID. Meski debat seputar protokol kerap memanas, memahami perbedaan teknis membantu tim mengambil keputusan arsitektur yang pragmatis berdasarkan kompatibilitas aplikasi dan kebutuhan keamanan. Untuk mendalami mekanisme yang lebih luas tentang penyedia identitas, siklus hidup token, dan keamanan cloud modern, pastikan Anda mendengarkan episode lengkapnya dan berlangganan podcast ini untuk wawasan lebih lanjut tentang ekosistem Microsoft 365.

Pertanyaan Umum

Apa perbedaan teknis utama antara SAML dan OpenID Connect?

SAML menggunakan XML untuk mengemas data autentikasi dan klaim, sehingga lebih berat dan kompleks, sedangkan OpenID Connect menggunakan JSON Web Token (JWT) di atas OAuth 2.0, memberikan pengalaman pengembang yang lebih ringan dan cepat.

Apakah Microsoft Entra ID dapat menangani SAML dan OIDC sekaligus?

Ya, Microsoft Entra ID sepenuhnya mendukung kedua protokol. Organisasi secara rutin menjalankan SAML untuk aplikasi perusahaan lama bersamaan dengan OIDC untuk perangkat lunak cloud-native modern dalam penyewa yang sama.

Kapan sebuah organisasi sebaiknya memilih OpenID Connect dibandingkan SAML?

Organisasi sebaiknya memilih OpenID Connect saat membangun atau mengintegrasikan aplikasi web modern, aplikasi single-page (SPA), dan aplikasi seluler yang membutuhkan pertukaran token yang cepat dan ringan serta implementasi yang lebih sederhana bagi pengembang.

Apakah memilih SAML dibanding OIDC membahayakan keamanan di Microsoft Entra ID?

Tidak, kedua protokol aman jika dikonfigurasi dengan benar. Namun, keamanannya sangat bergantung pada autentikasi multi-faktor (MFA) yang andal dan perlindungan token dari pencurian atau pembajakan sesi.