Active Directory Federation Services (umumnya dicari sebagai ADFS dan diberi gaya oleh Microsoft sebagai AD FS) adalah layanan federasi identitas lokal di Windows Server. Layanan ini mengautentikasi pengguna dan menerbitkan token berbasis klaim yang ditandatangani yang digunakan aplikasi tepercaya untuk masuk tunggal (SSO). Akibatnya, pengguna dapat mengakses aplikasi yang terhubung tanpa harus berbagi kata sandi Active Directory mereka dengan setiap aplikasi.
Dokumen Microsoft AD FS untuk Windows Server 2016, 2019, 2022, dan 2025. Namun, disarankan untuk memigrasikan aplikasi ke Microsoft Entra ID daripada meningkatkan AD FS. Hal ini membuat AD FS relevan untuk banyak lingkungan yang ada, tetapi kurang mungkin menjadi pilihan default untuk arsitektur identitas baru.
Takeaway kunci
- AD FS memungkinkan federasi identitas dan SSO: Active Directory Federation Services adalah layanan Windows Server lokal yang menyediakan akses berbasis klaim ke aplikasi tepercaya.
- Ini biasanya bekerja dengan Active Directory: AD FS mengautentikasi pengguna dan menerbitkan token yang ditandatangani ke aplikasi web, cloud, atau mitra tepercaya.
- Ini mendukung berbagai protokol federasi: Ini termasuk SAML, WS-Federation, OAuth, dan OpenID Connect, tergantung pada versi Windows Server dan kasus penggunaannya.
- AD FS tetap didukung: Namun, Microsoft merekomendasikan migrasi aplikasi ke Microsoft Entra ID daripada melakukan peningkatan ke AD FS.
- Modernisasi dapat melampaui sekadar migrasi: Organisasi dapat mengevaluasi Scalefusion OneIdP untuk SSO, federasi identitas, MFA, integrasi direktori, dan akses bersyarat berbasis UEM.
Apa itu ADFS dan apa fungsinya?
Active Directory Federation Services (biasanya disebut ADFS dan disingkat oleh Microsoft sebagai AD FS) adalah layanan federasi identitas lokal yang terintegrasi ke dalam Windows Server. Layanan ini umumnya mengautentikasi pengguna melalui Active Directory Domain Services dan menerbitkan token berbasis klaim yang ditandatangani, yang digunakan oleh aplikasi tepercaya untuk masuk tunggal (single sign-on).
AD FS bertindak sebagai jembatan kepercayaan antara sistem identitas organisasi dan aplikasi web, cloud, atau mitra yang terhubung. Ia memperluas identitas perusahaan di luar domain Windows internal tanpa mengharuskan setiap aplikasi untuk menerima atau mengelola kata sandi Active Directory pengguna.
Sebagai contoh, ketika seorang karyawan membuka portal mitra, portal tersebut mengarahkan browser karyawan ke AD FS. Setelah mengautentikasi karyawan, AD FS menerbitkan token yang ditandatangani yang berisi klaim yang disetujui, seperti ID pengguna, alamat email, peran, atau keanggotaan grup. Portal memvalidasi token tersebut dan menggunakan aturan otorisasi sendiri untuk menentukan akses.
Proses ini dikenal sebagai federasi identitas: sistem yang terpisah membangun kepercayaan tanpa menggabungkan direktori pengguna atau bertukar kata sandi. perantara identitas dapat membantu mengelola hubungan kepercayaan ini ketika melibatkan beberapa penyedia identitas.
Bagaimana cara kerja ADFS?
Proses masuk AD FS biasanya mengikuti enam langkah:
- Pengguna membuka sebuah aplikasi. Aplikasi mendeteksi bahwa pengguna tidak memiliki sesi aktif.
- Aplikasi tersebut mengarahkan pengguna ke AD FS. Permintaan tersebut mengidentifikasi aplikasi, yang dikenal sebagai pihak yang bergantung.
- AD FS mengautentikasi pengguna. Sistem ini biasanya memverifikasi pengguna melalui Active Directory dan menerapkan kebijakan autentikasi yang telah dikonfigurasi.
- AD FS mengevaluasi aturan klaim. Aturan-aturan ini menentukan informasi pengguna mana yang boleh diterima oleh aplikasi.
- AD FS menerbitkan token keamanan yang ditandatangani. Token tersebut dapat mencakup klaim seperti pengidentifikasi pengguna, alamat email, peran, atau keanggotaan grup.
- Aplikasi tersebut memvalidasi token. Jika pemeriksaan penerbit, tanda tangan, audiens, dan validitas lolos, aplikasi akan membuat sesi dan menerapkan aturan otorisasi sendiri.
Aplikasi menerima token—bukan kata sandi Active Directory pengguna. Tergantung pada versi Windows Server dan kasus penggunaan, AD FS dapat mendukung protokol termasuk SAML 2.0, WS-Federation, OAuth 2.0, OpenID Connect, dan WS-Trust.
Klaim dan persekutuan perwalian
A klaim adalah pernyataan tentang pengguna, seperti alamat email atau keanggotaan grup. AD FS mengemas klaim yang disetujui dalam token yang ditandatangani. A kepercayaan federasi mendefinisikan sistem mana yang dapat bertukar dan menerima informasi identitas ini. Trust pihak yang mengandalkan (relying party trusts) mewakili aplikasi yang menerima token AD FS; trust penyedia klaim (claims provider trusts) mewakili sumber identitas yang klaimnya diterima oleh AD FS.
Apa saja komponen utama dari AD FS?
| Komponen | Tujuan |
|---|---|
| Layanan Domain Direktori Aktif | Menyimpan identitas organisasi dan umumnya mengautentikasi pengguna. |
| Server Federasi | Memproses permintaan masuk, menerapkan aturan klaim, dan menerbitkan token. |
| Pusat server federasi | Menggunakan beberapa server untuk kapasitas dan ketersediaan. |
| Proksi Aplikasi Web | Secara opsional mempublikasikan AD FS untuk pengguna yang terhubung dari luar jaringan. |
| Basis data konfigurasi | Menyimpan data kepercayaan, aturan klaim, dan konfigurasi pertanian. |
AD FS juga bergantung pada sertifikat penandatanganan token. Aplikasi menggunakan kunci publik yang sesuai untuk memverifikasi bahwa token berasal dari layanan federasi tepercaya dan tidak diubah. Oleh karena itu, penyimpanan sertifikat, perpanjangan, penggantian, dan izin akses memerlukan pengelolaan yang cermat.
ADFS vs. Active Directory, LDAP, dan SSO
| Istilah | Apa itu | Tujuan utama |
|---|---|---|
| Active Directory | Layanan direktori | Menyimpan identitas dan mengelola sumber daya domain Windows. |
| LDAP | Protokol akses direktori | Mengakses dan memperbarui direktori yang kompatibel |
| SSO | Kemampuan akses | Memungkinkan pengguna untuk melakukan autentikasi sekali dan mengakses aplikasi yang terhubung. |
| IKLAN FS | Federasi dan layanan token | Memperluas identitas tepercaya ke aplikasi web, cloud, dan mitra. |
AD FS tidak menggantikan Active Directory. Umumnya, AD FS bergantung pada Active Directory untuk mengautentikasi pengguna, kemudian mengubah proses masuk yang berhasil menjadi token yang dapat dipercaya oleh aplikasi. LDAP menyediakan komunikasi direktori langsung, sedangkan AD FS menyediakan federasi berbasis klaim.
Apa saja manfaat dan keterbatasan AD FS?
| Manfaat | keterbatasan |
|---|---|
| Menyediakan SSO di seluruh aplikasi tepercaya. | Membutuhkan server, pembaruan perangkat lunak, pemantauan, pencadangan, dan perencanaan kapasitas. |
| Menjaga kata sandi Active Directory agar tidak diakses oleh aplikasi yang bergantung padanya. | Aturan klaim, perwalian, dan integrasi aplikasi memerlukan pengetahuan khusus. |
| Mendukung federasi berbasis standar | Kesalahan pembaruan atau pengalihan sertifikat dapat mengganggu akses. |
| Menjaga otentikasi tetap berada di bawah kendali organisasi. | Ketersediaan tinggi dapat memerlukan banyak server, proxy, dan penyeimbangan beban. |
| Mendukung skenario federasi lama dan mitra. | Server federasi dan kunci penandatanganan merupakan target keamanan bernilai tinggi. |
AD FS tidak secara otomatis menyediakan akun, mengamankan titik akhir, atau membuat organisasi patuh terhadap peraturan. Hasil tersebut bergantung pada kontrol identitas, titik akhir, keamanan, dan tata kelola yang ada di sekitarnya.
Apakah ADFS Masih Digunakan—dan Apa yang Menggantikannya?
Ya. AD FS tetap digunakan di mana organisasi bergantung pada aplikasi lama, kepercayaan mitra, aturan klaim khusus, atau otentikasi lokal. Microsoft terus mendokumentasikan layanan ini untuk rilis Windows Server yang didukung, sehingga AD FS tidak dihentikan dukungannya.
Namun, dukungan berbeda dengan arahan strategis. Microsoft merekomendasikan pemindahan aplikasi AD FS ke Entra ID jika memungkinkan. Panduan penonaktifan AD FS Mencakup penemuan aplikasi, migrasi, perubahan otentikasi, dan penghentian infrastruktur.
Keamanan adalah pertimbangan lain. Jika penyerang membahayakan lingkungan AD FS dan memperoleh kunci privat penandatanganan tokennya, penyerang mungkin dapat memalsukan token SAML tepercaya—sebuah teknik yang dikenal sebagai Golden SAMLMicrosoft merekomendasikan pembatasan akses administratif, menjaga lingkungan tetap mutakhir, memantau perubahan konfigurasi, dan melindungi kunci penandatanganan. Lihat panduan Microsoft untuk informasi lebih lanjut. mengamankan AD FS ke mengurangi serangan Golden SAML.
Sebelum mengganti platform, inventarisasi setiap aplikasi yang bergantung, protokol otentikasi, aturan klaim, sertifikat, kepercayaan mitra, dan ketergantungan penyediaan. Beberapa aplikasi dapat dipindahkan dengan cepat; yang lain mungkin memerlukan perbaikan atau koeksistensi bertahap.
Memodernisasi identitas dan akses dengan Scalefusion OneIdP
ID Entra Microsoft Ini adalah jalur migrasi yang direkomendasikan Microsoft untuk beban kerja AD FS. Tinjauan identitas yang lebih luas mungkin juga menanyakan bagaimana SSO, sumber identitas, otentikasi multifaktor, dan konteks perangkat harus bekerja sama di seluruh organisasi.
Scalefusion OneIdP merupakan UEM yang digerakkan oleh solusi manajemen identitas dan aksesIni mendukung SSO untuk aplikasi berbasis SAML dan OIDC, federasi identitas, integrasi direktori, MFA, dan kebijakan akses kontekstual. Koneksinya dengan Scalefusion UEM dapat membawa konteks perangkat terkelola dan kepatuhan ke dalam keputusan akses.
AD FS dan OneIdP bukanlah padanan satu-per-satu. Kepercayaan pihak yang mengandalkan (relying party trusts), aturan klaim (claim rules), protokol (protocols), alur penyediaan (provisioning workflows), dan integrasi mitra yang ada perlu dinilai secara individual sebelum migrasi. Tabel berikut membandingkan peran identitas dan akses aplikasi yang tumpang tindih di antara keduanya.
| Daerah | IKLAN FS | Scalefusion OneIdP |
|---|---|---|
| Peran utama | Federasi yang dihosting sendiri untuk aplikasi tepercaya | Akses identitas dan aplikasi terpusat dengan kontrol berbasis UEM. |
| Pengelolaan | Beroperasi pada infrastruktur Windows Server yang dikelola organisasi. | Dikelola melalui platform Scalefusion. |
| Sumber identitas | Umumnya menggunakan Active Directory dan penyedia klaim yang telah dikonfigurasi. | Terintegrasi dengan berbagai sumber termasuk Microsoft Entra, Google Workspace, Okta, dan AD atau LDAP lokal, tergantung pada metodenya. |
| Aplikasi SSO | Mendukung protokol termasuk SAML, WS-Federation, OAuth, dan OIDC, tergantung pada versinya. | Mendukung SSO untuk aplikasi berbasis SAML dan OIDC. |
| Keputusan akses | Menggunakan klaim, metode otentikasi, kepercayaan, dan kebijakan yang telah dikonfigurasi. | Dapat menggunakan identitas dan kondisi kontekstual seperti kepatuhan perangkat, status terkelola, peramban, jaringan atau IP, dan lokasi tempat dikonfigurasi. |
| Paling cocok | Persyaratan federasi yang sudah mapan, baik yang berpusat pada Microsoft maupun yang sudah usang. | Organisasi mengevaluasi SSO modern dan akses yang peka terhadap perangkat melalui pendekatan UEM dan IAM terpadu. |
Evaluasi OneIdP federasi identitas, layanan direktori, dan SSO perusahaan sesuai dengan persyaratan aplikasi dan keamanan Anda.
ADFS tetap relevan—tetapi modernisasi harus direncanakan.
AD FS menyediakan federasi berbasis klaim dan SSO untuk aplikasi yang mempercayai identitas suatu organisasi. Layanan ini tetap berguna di lingkungan yang sudah mapan maupun yang lama, tetapi membawa tanggung jawab infrastruktur, sertifikat, dan keamanan. Organisasi harus menjaga dependensi yang diperlukan dengan aman sambil merencanakan arsitektur identitas jangka panjang mereka.
Evaluasi Scalefusion OneIdP untuk SSO, federasi identitas, MFA, integrasi direktori, dan akses bersyarat yang digerakkan oleh UEM.
Pertanyaan Umum Demo Slot
1. Apa perbedaan antara ADFS dan Active Directory?
Active Directory menyimpan identitas dan mengelola sumber daya domain Windows. AD FS umumnya menggunakan Active Directory untuk mengautentikasi pengguna, kemudian menerbitkan token yang ditandatangani untuk aplikasi tepercaya. Singkatnya, Active Directory memelihara identitas, sementara AD FS memperluas identitas tersebut ke aplikasi terfederasi.
2. Apakah ADFS masih dibutuhkan?
AD FS mungkin masih diperlukan jika aplikasi lama, aturan klaim khusus, kepercayaan mitra, atau persyaratan lokal bergantung padanya. Jika ketergantungan tersebut tidak ada, platform identitas cloud dapat mengurangi pekerjaan manajemen server dan sertifikat. Evaluasi setiap aplikasi yang terhubung sebelum mengambil keputusan.
3. Apakah ADFS sudah usang?
Tidak. AD FS tetap didokumentasikan untuk rilis Windows Server yang didukung. Namun, Microsoft merekomendasikan migrasi aplikasi ke Microsoft Entra ID daripada melakukan peningkatan AD FS. Organisasi harus membedakan antara dukungan produk berkelanjutan dan arahan yang disukai Microsoft untuk penerapan identitas modern.
4. Apa yang menggantikan ADFS?
Microsoft merekomendasikan Entra ID sebagai arah migrasi untuk aplikasi AD FS. Keputusan penggantian tetap harus mempertimbangkan protokol aplikasi, klaim, direktori, penyediaan, koneksi mitra, persyaratan kepatuhan, dan strategi titik akhir. Tidak ada platform yang boleh dianggap sebagai pengganti langsung tanpa penilaian ini.
5. Apa perbedaan antara ADFS dan LDAP?
LDAP melakukan kueri atau memperbarui informasi direktori. AD FS menerbitkan token berbasis klaim ke aplikasi tepercaya, memungkinkan aplikasi web untuk memvalidasi token alih-alih mengirimkan kata sandi pengguna langsung ke direktori.
