Konsep Autentikasi Windows
Berlaku untuk: Windows Server 2022, Windows Server 2019, Windows Server 2016
Topik ringkasan referensi ini menjelaskan konsep di mana autentikasi Windows didasarkan.
Autentikasi adalah proses untuk memverifikasi identitas objek atau orang. Saat Anda mengautentikasi objek, tujuannya adalah untuk memverifikasi bahwa objek tersebut asli. Saat Anda mengautentikasi seseorang, tujuannya adalah untuk memverifikasi bahwa orang tersebut bukan peniru.
Dalam konteks jaringan, autentikasi adalah tindakan membuktikan identitas ke aplikasi atau sumber daya jaringan. Biasanya, identitas dibuktikan oleh operasi kriptografi yang menggunakan kunci yang hanya diketahui pengguna (seperti halnya kriptografi kunci publik) atau kunci bersama. Sisi server pertukaran autentikasi membandingkan data yang ditandatangani dengan kunci kriptografi yang diketahui untuk memvalidasi upaya autentikasi.
Menyimpan kunci kriptografi di lokasi pusat yang aman membuat proses autentikasi dapat diskalakan dan dipertahankan. Direktori Aktif adalah teknologi yang direkomendasikan dan default untuk menyimpan informasi identitas, yang mencakup kunci kriptografi yang merupakan kredensial pengguna. Direktori Aktif diperlukan untuk implementasi NTLM dan Kerberos default.
Teknik autentikasi berkisar dari masuk sederhana hingga sistem operasi atau masuk ke layanan atau aplikasi, yang mengidentifikasi pengguna berdasarkan sesuatu yang hanya diketahui pengguna, seperti kata sandi, hingga mekanisme keamanan yang lebih kuat yang menggunakan sesuatu yang dimiliki pengguna seperti token, sertifikat kunci publik, gambar, atau atribut biologis. Di lingkungan bisnis, pengguna mungkin mengakses beberapa aplikasi di banyak jenis server dalam satu lokasi atau di beberapa lokasi. Untuk alasan ini, autentikasi harus mendukung lingkungan untuk platform lain dan untuk sistem operasi Windows lainnya.
Autentikasi dan otorisasi: Analogi perjalanan
Analogi perjalanan dapat membantu menjelaskan cara kerja autentikasi. Beberapa tugas persiapan biasanya diperlukan untuk memulai perjalanan. Pelancong harus membuktikan identitas mereka yang sebenarnya kepada otoritas tuan rumah mereka. Bukti ini dapat berupa bukti kewarganegaraan, tempat lahir, voucher pribadi, foto, atau apa pun yang diwajibkan oleh hukum negara tuan rumah. Identitas pelancong divalidasi oleh penerbitan paspor, yang dianalogikan dengan akun sistem yang dikeluarkan dan dikelola oleh organisasi --prinsip keamanan. Paspor dan tujuan yang dimaksudkan didasarkan pada seperangkat aturan dan peraturan yang dikeluarkan oleh otoritas pemerintah.
Perjalanan
Ketika pelancong tiba di perbatasan internasional, seorang penjaga perbatasan meminta kredensial, dan pelancong menyajikan paspornya. Prosesnya adalah dua kali lipat:
Penjaga mengautentikasi paspor dengan memverifikasi bahwa itu dikeluarkan oleh otoritas keamanan yang dipercaya pemerintah setempat (kepercayaan, setidaknya, untuk menerbitkan paspor) dan dengan memverifikasi bahwa paspor belum dimodifikasi.
Penjaga mengautentikasi pelancong dengan memverifikasi bahwa wajah cocok dengan wajah orang yang difoto pada paspor dan bahwa kredensial lain yang diperlukan dalam urutan yang baik.
Jika paspor terbukti valid dan pelancong terbukti sebagai pemiliknya, autentikasi berhasil, dan pelancong dapat diizinkan mengakses melintasi perbatasan.
Kepercayaan transitif antara otoritas keamanan adalah fondasi autentikasi; jenis autentikasi yang berlangsung di perbatasan internasional didasarkan pada kepercayaan. Pemerintah setempat tidak mengenal pelancong, tetapi percaya bahwa pemerintah tuan rumah tidak. Ketika pemerintah tuan rumah mengeluarkan paspor, itu tidak tahu pelancong juga. Ini mempercayai agensi yang mengeluarkan akta kelahiran atau dokumentasi lainnya. Lembaga yang menerbitkan akta kelahiran, pada gilirannya, mempercayai dokter yang menandatangani sertifikat. Dokter menyaksikan kelahiran pelancong dan dicap sertifikat dengan bukti langsung identitas, dalam hal ini dengan jejak bayi yang baru lahir. Kepercayaan yang ditransfer dengan cara ini, melalui perantara tepercaya, bersifat transitif.
Kepercayaan transitif adalah fondasi untuk keamanan jaringan dalam arsitektur klien/server Windows. Hubungan kepercayaan mengalir di seluruh sekumpulan domain, seperti pohon domain, dan membentuk hubungan antara domain dan semua domain yang mempercayai domain tersebut. Misalnya, jika domain A memiliki kepercayaan transitif dengan domain B, dan jika domain B mempercayai domain C, domain A mempercayai domain C.
Ada perbedaan antara autentikasi dan otorisasi. Dengan autentikasi, sistem membuktikan bahwa Anda adalah orang yang Anda katakan. Dengan otorisasi, sistem memverifikasi bahwa Anda memiliki hak untuk melakukan apa yang ingin Anda lakukan. Untuk mengambil analogi perbatasan ke langkah berikutnya, hanya mengautentikasi bahwa pelancong adalah pemilik paspor yang tepat tidak selalu memberi wewenang kepada pelancong untuk memasuki suatu negara. Penduduk negara tertentu diizinkan untuk memasuki negara lain hanya dengan menunjukkan paspor hanya dalam situasi di mana negara yang dimasukkan memberikan izin tanpa batas bagi semua warga negara negara tertentu untuk masuk.
Demikian pula, Anda dapat memberikan semua pengguna dari izin domain tertentu untuk mengakses sumber daya. Setiap pengguna yang termasuk dalam domain tersebut memiliki akses ke sumber daya, sama seperti Kanada memungkinkan warga negara AS memasuki Kanada. Namun, warga negara AS yang mencoba memasuki Brasil atau India menemukan bahwa mereka tidak dapat memasuki negara-negara itu hanya dengan menunjukkan paspor karena kedua negara tersebut mengharuskan mengunjungi warga AS untuk memiliki visa yang valid. Dengan demikian, autentikasi tidak menjamin akses ke sumber daya atau otorisasi untuk menggunakan sumber daya.
Kredensial
Paspor dan visa yang mungkin terkait adalah kredensial yang diterima untuk pelancong. Namun, kredensial tersebut mungkin tidak membiarkan pelancong masuk atau mengakses semua sumber daya dalam suatu negara. Misalnya, kredensial tambahan diperlukan untuk menghadiri konferensi. Di Windows, kredensial dapat dikelola untuk memungkinkan pemegang akun mengakses sumber daya melalui jaringan tanpa berulang kali harus memberikan kredensial mereka. Jenis akses ini memungkinkan pengguna diautentikasi satu kali oleh sistem untuk mengakses semua aplikasi dan sumber data yang diizinkan untuk digunakan tanpa memasukkan pengidentifikasi akun atau kata sandi lain. Platform Windows memanfaatkan kemampuan untuk menggunakan satu identitas pengguna (dikelola oleh Direktori Aktif) di seluruh jaringan dengan menyimpan kredensial pengguna secara lokal di Otoritas Keamanan Lokal (LSA) sistem operasi. Saat pengguna masuk ke domain, paket autentikasi Windows secara transparan menggunakan kredensial untuk menyediakan akses menyeluruh saat mengautentikasi kredensial ke sumber daya jaringan. Untuk informasi selengkapnya tentang kredensial, lihat Proses Kredensial di Autentikasi Windows.
Bentuk autentikasi multifaktor bagi pelancong mungkin menjadi persyaratan untuk membawa dan menyajikan beberapa dokumen untuk mengautentikasi identitasnya seperti paspor dan informasi pendaftaran konferensi. Windows menerapkan formulir atau autentikasi ini melalui kartu pintar, kartu pintar virtual, dan teknologi biometrik.
Prinsip keamanan dan akun
Di Windows, setiap pengguna, layanan, grup, atau komputer yang dapat memulai tindakan adalah prinsip keamanan. Prinsip keamanan memiliki akun, yang dapat dilokalkan ke komputer atau berbasis domain. Misalnya, komputer yang bergabung dengan domain klien Windows dapat berpartisipasi dalam domain jaringan dengan berkomunikasi dengan pengendali domain bahkan ketika tidak ada pengguna manusia yang masuk. Untuk memulai komunikasi, komputer harus memiliki akun aktif di domain. Sebelum menerima komunikasi dari komputer, otoritas keamanan lokal pada pengendali domain mengautentikasi identitas komputer, dan kemudian mendefinisikan konteks keamanan komputer seperti halnya untuk prinsip keamanan manusia. Konteks keamanan ini mendefinisikan identitas dan kemampuan pengguna atau layanan pada komputer tertentu atau pengguna, layanan, grup, atau komputer di jaringan. Misalnya, ini mendefinisikan sumber daya, seperti berbagi file atau printer, yang dapat diakses dan tindakan, seperti Baca, Tulis, atau Ubah, yang dapat dilakukan oleh pengguna, layanan, atau komputer pada sumber daya tersebut. Untuk informasi selengkapnya, lihat Prinsip keamanan.
Akun adalah sarana untuk mengidentifikasi penggunting--pengguna manusia atau layanan--meminta akses atau sumber daya. Pelancong yang memegang paspor otentik memiliki akun dengan negara tuan rumah. Pengguna, grup pengguna, objek, dan layanan semuanya dapat memiliki akun individual atau berbagi akun. Akun dapat menjadi anggota grup dan dapat diberi hak dan izin tertentu. Akun dapat dibatasi untuk komputer lokal, grup kerja, jaringan, atau ditetapkan keanggotaan ke domain.
Akun bawaan dan grup keamanan, di mana mereka adalah anggota, didefinisikan pada setiap versi Windows. Dengan menggunakan grup keamanan, Anda dapat menetapkan izin keamanan yang sama untuk banyak pengguna yang berhasil diautentikasi, yang menyederhanakan administrasi akses. Aturan untuk menerbitkan paspor mungkin mengharuskan pelancong ditetapkan ke kelompok tertentu, seperti bisnis, atau turis, atau pemerintah. Proses ini memastikan izin keamanan yang konsisten di semua anggota grup. Dengan menggunakan grup keamanan untuk menetapkan izin berarti kontrol akses sumber daya tetap konstan dan mudah dikelola dan diaudit. Dengan menambahkan dan menghapus pengguna yang memerlukan akses dari grup keamanan yang sesuai kebutuhan, Anda dapat meminimalkan frekuensi perubahan pada daftar kontrol akses (ACL).
Akun layanan terkelola mandiri dan akun virtual diperkenalkan di Windows Server 2008 R2 dan Windows 7 untuk menyediakan aplikasi yang diperlukan, seperti Microsoft Server Exchange dan Layanan Informasi Internet (IIS), dengan isolasi akun domain mereka sendiri, sambil menghilangkan kebutuhan administrator untuk mengelola nama perwakilan layanan (SPN) secara manual dan kredensial untuk akun ini. Akun layanan terkelola grup diperkenalkan di Windows Server 2012 dan menyediakan fungsionalitas yang sama dalam domain tetapi juga memperluas fungsionalitas tersebut melalui beberapa server. Saat menyambungkan ke layanan yang dihosting di farm server, seperti Network Load Balance, protokol autentikasi yang mendukung autentikasi bersama mengharuskan semua instans layanan menggunakan prinsipal yang sama.
Untuk informasi selengkapnya tentang akun, lihat:
Autentikasi yang didelegasikan
Untuk menggunakan analogi perjalanan, negara-negara mungkin mengeluarkan akses yang sama ke semua anggota delegasi resmi pemerintah, selama delegasi terkenal. Delegasi ini memungkinkan satu anggota bertindak atas wewenang anggota lain. Di Windows, autentikasi yang didelegasikan terjadi ketika layanan jaringan menerima permintaan autentikasi dari pengguna dan mengasumsikan identitas pengguna tersebut untuk memulai koneksi baru ke layanan jaringan kedua. Untuk mendukung autentikasi yang didelegasikan, Anda harus membuat server front-end atau tingkat pertama, seperti server web, yang bertanggung jawab untuk menangani permintaan autentikasi klien dan server back-end atau n-tingkat, seperti database besar, yang bertanggung jawab untuk menyimpan informasi. Anda dapat mendelegasikan hak untuk menyiapkan autentikasi yang didelegasikan kepada pengguna di organisasi Anda untuk mengurangi beban administratif pada administrator Anda.
Dengan membuat layanan atau komputer sebagai tepercaya untuk delegasi, Anda membiarkan layanan atau komputer tersebut menyelesaikan autentikasi yang didelegasikan, menerima tiket untuk pengguna yang membuat permintaan, lalu mengakses informasi untuk pengguna tersebut. Model ini membatasi akses data pada server back-end hanya untuk pengguna atau layanan yang menyajikan info masuk dengan token kontrol akses yang benar. Selain itu, ini memungkinkan audit akses sumber daya back-end tersebut. Dengan mengharuskan semua data diakses dengan kredensial yang didelegasikan ke server untuk digunakan atas nama klien, Anda memastikan bahwa server tidak dapat disusupi dan Anda dapat memperoleh akses ke informasi sensitif yang disimpan di server lain. Autentikasi yang didelegasikan berguna untuk aplikasi multitier yang dirancang untuk menggunakan kemampuan akses menyeluruh di beberapa komputer.
Autentikasi dalam hubungan kepercayaan antar domain
Sebagian besar organisasi yang memiliki lebih dari satu domain memiliki kebutuhan yang sah bagi pengguna untuk mengakses sumber daya bersama yang terletak di domain yang berbeda, sama seperti wisatawan diizinkan bepergian ke berbagai wilayah di negara tersebut. Mengontrol akses ini mengharuskan pengguna dalam satu domain juga dapat diautentikasi dan diotorisasi untuk menggunakan sumber daya di domain lain. Untuk memberikan kemampuan autentikasi dan otorisasi antara klien dan server di domain yang berbeda, harus ada kepercayaan antara kedua domain. Kepercayaan adalah teknologi yang mendasar di mana komunikasi Direktori Aktif aman terjadi dan merupakan komponen keamanan integral dari arsitektur jaringan Windows Server.
Ketika kepercayaan ada di antara dua domain, mekanisme autentikasi untuk setiap domain mempercayai autentikasi yang berasal dari domain lain. Kepercayaan membantu menyediakan akses terkontrol ke sumber daya bersama di domain sumber daya--domain tepercaya--dengan memverifikasi bahwa permintaan autentikasi masuk berasal dari otoritas tepercaya--domain tepercaya. Dengan cara ini, kepercayaan bertindak sebagai jembatan yang hanya memungkinkan permintaan autentikasi yang divalidasi melakukan perjalanan antar domain.
Bagaimana kepercayaan tertentu meneruskan permintaan autentikasi bergantung pada bagaimana kepercayaan tersebut dikonfigurasi. Hubungan kepercayaan bisa satu arah, dengan menyediakan akses dari domain tepercaya ke sumber daya di domain tepercaya, atau dua arah, dengan menyediakan akses dari setiap domain ke sumber daya di domain lain. Kepercayaan juga nontransitif, dalam hal ini kepercayaan hanya ada antara dua domain mitra kepercayaan, atau transitif, dalam hal ini kepercayaan secara otomatis meluas ke domain lain yang dipercaya oleh salah satu mitra.
Untuk informasi tentang cara kerja kepercayaan, lihat Cara Kerja Kepercayaan Domain dan Hutan.
Transisi protokol
Transisi protokol membantu perancang aplikasi dengan memungkinkan aplikasi mendukung mekanisme autentikasi yang berbeda di tingkat autentikasi pengguna dan dengan beralih ke protokol Kerberos untuk fitur keamanan, seperti autentikasi bersama dan delegasi yang dibatasi, di tingkat aplikasi berikutnya.
Untuk informasi selengkapnya tentang transisi protokol, lihat Transisi Protokol Kerberos dan Delegasi yang Dibatasi.
Delegasi yang dibatasi
Delegasi yang dibatasi memberi administrator kemampuan untuk menentukan dan menerapkan batas kepercayaan aplikasi dengan membatasi cakupan di mana layanan aplikasi dapat bertindak atas nama pengguna. Anda dapat menentukan layanan tertentu tempat komputer yang dipercaya untuk delegasi dapat meminta sumber daya. Fleksibilitas untuk membatasi hak otorisasi untuk layanan membantu meningkatkan desain keamanan aplikasi dengan mengurangi peluang kompromi oleh layanan yang tidak tepercaya.
Untuk informasi selengkapnya tentang delegasi yang dibatasi, lihat Gambaran Umum Delegasi yang Dibatasi Kerberos.