Masa Depan Layanan Direktori Tanpa Domain

Pendekatan mendasar untuk keamanan, manajemen perangkat, dan kontrol akses sedang berubah.

Selama lebih dari 30 tahun, prioritas inti TI ini tidak dapat dipisahkan dari Active Directory dan OpenLDAP, yang merupakan solusi luar biasa di era domain lokal. Namun pergeseran baru-baru ini ke pekerjaan jarak jauh memperjelas bahwa keamanan perimeter tradisional dan infrastruktur lokal tidak lagi cukup untuk melindungi identitas pengguna organisasi dan data rahasia di cloud.

Untuk mengelola lingkungan kerja modern dengan lebih baik, kita perlu membayangkan kembali fungsi individual dari layanan direktori dan memisahkan fungsi-fungsi tersebut dari konsep lama dari domain bawaan, kastil-dan-parit. Yang paling penting saat ini adalah mengamankan pengguna dan perangkat di mana pun mereka berada.

Maka, masa depan layanan direktori adalah tanpa domain. Berikut adalah tampilan yang lebih mendetail tentang bagaimana kami sampai di sini, seperti apa praktik perusahaan tanpa domain, dan langkah-langkah yang dapat diambil organisasi untuk memodernisasi infrastruktur IAM mereka.

Membayangkan kembali layanan direktori dan konsep domain

Konsep domain seperti yang kita ketahui pada dasarnya dirancang pada 1990-an, dan merupakan solusi yang sangat baik untuk pengguna yang aman dan tata kelola komputer di lingkungan kantor terprogram saat itu. Sementara sebagian besar bidang TI lainnya telah sepenuhnya berubah sejak saat itu, model ini masih menopang sebagian besar pendekatan organisasi terhadap manajemen identitas dan akses saat ini.

Banyak profesional TI menerima domain begitu saja dan berasumsi bahwa langkah logis berikutnya adalah mengadaptasi dan memperluasnya untuk era cloud dengan menambahkan penyedia aplikasi web masuk tunggal (SSO) dan jembatan identitas lainnya. Tetapi pendekatan yang lebih praktis mungkin dengan melihat kembali masalah inti yang awalnya dirancang untuk dipecahkan oleh domain, memutuskan masalah mana yang masih relevan hingga saat ini, dan mencari cara baru untuk menyelesaikannya menggunakan inovasi modern.

Pada pertengahan 1990-an hingga pertengahan 2000-an, pengaturan kantor sangat berbeda. Pekerja memasuki perusahaan bata-dan-mortir menggunakan kartu kunci atau kunci yang sebenarnya. Mereka berjalan ke meja mereka dan duduk di depan komputer stasioner. Komputer-komputer itu ditambatkan melalui kabel ethernet ke beberapa pusat data internal atau lemari server di dalam kantor fisik. Dari dalam lokasi pusat itu, pengontrol domain memberikan akses ke sumber daya TI dalam jaringan lokal. Jaringan fisik itu, pada gilirannya, dilindungi dari serangan luar oleh firewall dan oleh gedung itu sendiri untuk akses fisik.

Pada saat itu, pengaturan ini pada dasarnya aman dan mudah untuk dikelola, dan menawarkan pengalaman pengguna yang sangat mulus sehingga pengguna tidak perlu mengelola banyak kata sandi atau memikirkan proses otorisasi dan otentikasi yang terjadi di belakang layar. Lingkungannya homogen, dengan menara desktop yang menjalankan program Windows dan Microsoft di setiap stasiun kerja. Active Directory (AD) sangat cocok untuk jenis lingkungan ini sehingga dapat memberikan pengalaman sistem masuk tunggal (SSO) pertama kepada pengguna: satu set kredensial untuk mengakses sumber daya TI berbasis Windows mereka melalui login sistem tunggal.

Sekarang, maju cepat ke masa sekarang dan hancurkan semua dinding bangunan itu. TI sedang menuju ke arah fleksibilitas di luar kantor yang dimungkinkan oleh teknologi cloud dan internet nirkabel berkecepatan tinggi yang tersedia secara luas. Alih-alih memperbaiki komputer dengan menara dan monitor tabung, karyawan sekarang memiliki laptop dan perangkat lain yang dapat mereka bawa hampir ke mana saja, terhubung ke internet, dan mulai bekerja. Itulah singkatnya perusahaan tanpa domain, dan itulah realitas kita saat ini.

Namun di dunia di mana begitu banyak pekerjaan terjadi di luar domain, departemen TI dipaksa untuk menilai kembali tantangan yang pernah ditangani sendiri oleh Active Directory.

Kekurangan modern dari model domain

Active Directory telah berjuang untuk beradaptasi dan berintegrasi dengan sumber daya cloud modern dan sistem operasi non-Windows, dan model keamanan perimeter yang dirancangnya tidak cukup untuk melindungi pekerja jarak jauh.

Jadi pertanyaannya adalah bagaimana menerjemahkan alur kerja administratif terpusat dan pengalaman pengguna yang sederhana dan aman yang pernah diberikan oleh AD ke lingkungan modern yang mencakup sistem Mac dan Linux, aplikasi web, server cloud, dan jaringan jarak jauh, dan mungkin masih ada atau tidak. -prem infrastruktur juga. Pengguna perlu terhubung ke sumber daya TI mereka dengan gesekan minimal di mana pun mereka bekerja, dan admin TI harus yakin bahwa identitas pengguna dan data kepemilikan dilindungi dari serangan.

Masalahnya adalah bahwa TI hampir tidak memiliki tingkat kontrol atas identitas pengguna modern yang akan dimiliki dalam lingkungan domain AD konvensional. Aplikasi telah bermigrasi dari arsitektur pembelian-sekali, instal-lokal lama ke model langganan berbasis cloud. Beberapa aplikasi masih diinstal secara lokal, dengan identitas dan konfigurasi ditangani di cloud melalui browser web.

Dibiarkan untuk mengelola identitas mereka sendiri, pengguna berakhir dengan puluhan – jika tidak ratusan – kata sandi, dan menghadapi godaan untuk mengabaikan pedoman keamanan dan berbagi atau menggunakan kembali kata sandi yang lemah.

Pengguna juga mungkin tergoda untuk membuat akun mereka sendiri untuk aplikasi baru sesuai keinginan mereka, tanpa persetujuan atau peraturan TI. TI bayangan ini menimbulkan risiko keamanan yang tidak perlu bagi organisasi. Dan bahkan identitas yang dikelola oleh TI mungkin ada dalam silonya sendiri, dengan masing-masing identitas terpisah yang memerlukan proses penyediaan dan pencabutan akses manualnya sendiri.

Tidak ada identitas sentral tunggal yang analog dengan identitas AD di masa lampau. Admin membutuhkan cara baru untuk mengamankan koneksi, menjaga semuanya dengan aman di bawah lingkup TI, memenuhi dasar keamanan dan kepatuhan, dan menyiapkan perangkat untuk pekerjaan jarak jauh.

Ketika datang ke sistem, MacBook dan sistem Linux sekarang sudah biasa. Di mana admin Microsoft berpengalaman pernah menolak pengenalan sistem Mac ke tempat kerja, sekarang praktik standar untuk mengakomodasi sistem tersebut. Dalam domain Active Directory tradisional, manajemen sistem Mac dan Linux tidak akan sama rata atau aman tanpa penambahan solusi titik lain di luar AD, seperti alat manajemen sistem atau bahkan MDM.

Lingkungan domain yang dibangun di sekitar OpenLDAP tidak jauh lebih baik: domain dan server LDAP terutama mengelola identitas, kata sandi, grup, dan unit organisasi, tetapi sering kali tidak memiliki manajemen sistem, penegakan kebijakan keamanan, dan kemampuan integrasi aplikasi cloud. Sumber daya TI telah beralih dari hanya menggunakan LDAP sebagai protokol autentikasi pilihan menjadi memanfaatkan standar modern seperti SAML, SCIM, OAuth, OIDC, dan banyak lagi. Lingkungan LDAP lawas juga memerlukan keahlian tingkat tinggi untuk mengonfigurasi dan memelihara.

Cara logis untuk mengisi celah di atas dalam pengawasan TI adalah dengan menerapkan arsitektur tanpa domain modern.

Apa arti sebenarnya dari domainless dalam praktiknya?

Prospek tanpa domain mungkin terdengar sedikit menakutkan bagi admin berpengalaman, tetapi lingkungan tanpa domain yang dikonfigurasi dengan benar dapat jauh lebih aman daripada penyiapan domain tradisional di lanskap TI saat ini. Dalam lingkungan tanpa domain, postur keamanan organisasi membungkus setiap pengguna individu, sistem Mac, Windows, atau Linux mereka, dan sumber daya yang mereka butuhkan untuk mengakses, di mana pun masing-masing komponen tersebut berada.

Setiap sumber daya TI sekarang memiliki batas ketatnya sendiri. Ini berarti alih-alih berfungsi pada dasarnya tidak aman dalam batas-batas perimeter yang lebih besar yang diperkeras setelah mengautentikasi sekali, identitas dan hak akses terus-menerus diperiksa dan diverifikasi. Pengguna mengakses sumber daya mereka secara langsung melalui koneksi internet standar, daripada merutekan melalui domain untuk otentikasi. Dan sebagai pengganti pengontrol domain, layanan direktori cloud menangani manajemen akses, autentikasi pengguna, dan penegakan keamanan.

Konsep layanan direktori cloud inilah yang membuat perusahaan tanpa domain dapat dicapai dalam praktik. Tetapi meskipun begitu banyak aspek TI lainnya telah bermigrasi secara efektif ke cloud, banyak admin yang ragu untuk menerapkan spektrum penuh layanan direktori di cloud.

Untuk sebagian besar, itu karena ide layanan direktori itu sendiri sangat terkait erat dengan Active Directory – alat yang ada berdiri untuk masalah individu yang pernah dipecahkan. Dan aspek keamanan domain lebih intuitif: firewall dan kunci pintu sudah familiar, dan mereka memberi kita perasaan kontrol. Tampaknya logis bahwa menyerahkan domain berarti peningkatan paparan terhadap serangan dan penurunan kontrol atas keamanan.

Tetapi kenyataannya adalah bahwa bahkan dengan langkah-langkah seperti firewall, deteksi jaringan, dan deteksi dan respons titik akhir, organisasi masih dapat dilanggar. Setelah setiap serangan baru yang berhasil mencapai siklus berita, komunitas TI memfokuskan kembali pada cara menerapkan versi yang lebih baik dan lebih kuat dari pendekatan keamanan yang sama. Jelas, cara lama dalam melakukan sesuatu tidak berhasil. Waktunya telah tiba untuk pendekatan berbasis cloud yang secara fundamental baru.

Fungsi inti dari layanan direktori cloud

Frasa layanan direktori cloud digunakan untuk menggambarkan berbagai solusi yang cocok secara longgar ke dalam kategori IAM, tetapi sulit untuk menjelaskan apa arti sebenarnya dari frasa ini dari vendor ke vendor.

Solusi direktori cloud yang berbeda jarang menawarkan fungsionalitas yang sebanding, dan hampir tidak ada yang mereplikasi rangkaian lengkap tata kelola sistem asli, otentikasi, dan kemampuan kontrol akses sebagai penyedia identitas inti organisasi. Tapi itulah yang perlu dilakukan oleh layanan direktori cloud untuk mendukung dan mengamankan arsitektur tanpa domain modern.

Faktanya, layanan direktori cloud yang bermanfaat harus benar-benar melampaui cakupan asli AD dengan mengelola akses ke aplikasi pihak ketiga dan sistem operasi non-Windows, semuanya dari satu platform.

Perbedaan ini penting dalam membandingkan layanan direktori cloud yang sebenarnya dengan platform SSO aplikasi web, yang memberi pengguna satu identitas untuk mengakses aplikasi SaaS mereka tetapi mungkin tidak dapat mengelola akses perangkat, garis dasar keamanan, atau mengautentikasi pengguna ke warisan atau lokal sumber daya menggunakan protokol authN pilihan mereka. Dalam hal ini, SSO berbasis SAML hanyalah salah satu komponen dari layanan direktori cloud; istilah tidak dapat dipertukarkan.

Alih-alih membuat terjemahan satu-ke-satu dari model domain AD yang ditetapkan di cloud, layanan direktori cloud yang tepat memecah fungsi AD menjadi bagian-bagian komponennya dan menata ulang setiap bagian tersebut. Jika kita dapat memisahkan masalah individu dari solusi yang kita terima begitu saja, kita dapat menemukan cara baru untuk menyelesaikannya.

Fitur inti berikut sangat penting untuk layanan direktori cloud yang dibuat untuk perusahaan tanpa domain:

• Satu identitas pengguna yang aman untuk mengakses perangkat, aplikasi, WiFi/VPN, server, dan infrastruktur dev, baik lokal maupun di cloud dan terlepas dari vendor
• Kemampuan untuk mengintegrasikan dan mengkonsolidasikan identitas pengguna dari layanan lain termasuk G Suite, Office 365, AWS, AD/Azure, dan sistem HR/penggajian
• Kemampuan penyediaan dan deprovisioning pengguna otomatis
• Manajemen sistem jarak jauh dengan kontrol kebijakan seperti GPO atas sistem Mac, Windows, dan Linux serta pelaporan mendalam tentang status dan atribut sistem
• Otentikasi multi-faktor (MFA) pada login sistem Mac, Windows, dan Linux dan untuk akses ke hampir semua sumber daya TI lainnya, ditambah kemampuan manajemen kunci SSH
• Administrasi yang fleksibel dan otomatis melalui skrip, API, atau PowerShell
• Data terperinci dan pencatatan peristiwa untuk mendukung kebutuhan audit dan kepatuhan

Banyak kegagalan keamanan yang tidak ditelusuri kembali ke ketiadaan total salah satu komponen di atas, tetapi pada ketidakmampuan untuk menerapkan, menegakkan, dan memperbaruinya secara seragam di seluruh organisasi. Dengan mengingat hal itu, nilai layanan direktori cloud terpusat menjadi jelas.

Kunci untuk menjadi tanpa domain: kepercayaan perangkat dan MFA

Meskipun banyak solusi cloud IAM sepenuhnya berbasis browser, mereka kehilangan kunci keamanan tanpa domain modern: perangkat. Pengguna tetap membutuhkan gateway fisik untuk bekerja, baik gateway tersebut berupa laptop, tablet, atau smartphone. Banyak verifikasi konstan yang diperlukan untuk mengamankan lingkungan tanpa domain harus ditangani oleh perangkat, menggunakan kerangka kerja yang dapat kita anggap sebagai kepercayaan perangkat .

Idenya adalah bahwa pengguna masuk ke perangkat satu kali, menggunakan kombinasi kata sandi atau kredensial tanpa kata sandi plus MFA, dan kemudian mendapatkan akses aman ke semua sumber daya TI mereka. Setiap transaksi diamankan dan dienkripsi pada tingkat atom, sehingga pekerjaan dapat dilakukan dengan aman melalui koneksi internet standar.

Pengalaman pengguna mirip dengan pengalaman SSO masuk ke mesin desktop di domain AD akhir 1990-an/awal-pertengahan 2000-an, tetapi apa yang terjadi di balik layar jauh lebih kompleks dan luasnya sumber daya TI yang tersedia untuk diakses jauh lebih besar.

Agar layanan direktori cloud membangun hubungan tepercaya dengan perangkat, beberapa kriteria harus dipenuhi dan terus ditegaskan kembali. Kriteria tersebut menyederhanakan untuk memverifikasi bahwa:

• Pengguna yang tepat mengakses perangkat dan pengguna itu adalah yang mereka katakan
• Perangkat yang tepat meminta akses
• Akses diminta dari lokasi yang tepat
• Izin yang tepat sedang diberlakukan untuk pengguna/perangkat dalam sumber daya yang diberikan

Di sinilah konsep MFA berkembang melampaui ukuran yang dihadapi pengguna seperti token TOTP dan kunci keamanan WebAuthn. Persyaratan di atas dapat dikonfirmasi antara perangkat dan layanan direktori cloud, menetapkan faktor otentikasi ketiga, keempat, kelima, dan lebih banyak lagi yang hampir tidak mungkin direplikasi bersama oleh penyerang.

Gagasan melanggar jaringan secara radikal diubah oleh otentikasi multi-faktor berulang ini: Tidak ada lagi area yang tidak aman untuk dilintasi selama sesi terbuka hanya setelah satu otentikasi awal. Itu karena dalam model tanpa domain, keamanan dan kontrol akses secara efektif terjadi di setiap level, bukan hanya di level jaringan. Hanya orang yang tepat, dengan mesin yang tepat, mengakses dari lokasi yang tepat dengan izin yang sesuai yang dapat mengakses data dan aplikasi.

Layanan direktori cloud membangun kepercayaan perangkat melalui kombinasi tata kelola sistem seperti GPO, perangkat lunak yang dibangun berdasarkan prinsip hak istimewa paling rendah, dan enkripsi semua data saat transit dan saat istirahat. Cara lain untuk memikirkan pendekatan ini adalah dalam konteks keamanan tanpa kepercayaan .

Keamanan tanpa kepercayaan dalam praktik

Keamanan tanpa kepercayaan berarti layanan direktori yang diisi dengan otentikasi tidak pernah mengabaikan legitimasi pengguna, perangkat, aplikasi, atau sumber daya TI lainnya begitu saja. Ini dicapai dengan mengamankan empat bidang berikut: karyawan, sistem, aplikasi, dan jaringan.

Para karyawan

Sebuah sistem tersedia untuk memverifikasi bahwa mereka benar-benar seperti yang mereka katakan dengan mengonfirmasi kata sandi mereka (sesuatu yang mereka ketahui) dan token MFA mereka (sesuatu yang mereka miliki) terhadap basis data direktori, yang berfungsi sebagai sumber kebenaran yang sah.

Sistem

Sistem, kemungkinan mesin yang dikeluarkan perusahaan, yang digunakan oleh orang yang divalidasi untuk mengakses sumber daya TI harus bersih, dan orang tersebut harus memiliki akses yang sah ke mesin itu. Dalam praktiknya, ini berarti semacam mekanisme untuk memastikan bahwa mesin diketahui, kebijakan dan pengaturan menegakkan standar keamanan, dan tingkat kepastian yang tinggi bahwa pengguna adalah seperti yang mereka katakan. Perangkat lunak keamanan diperiksa dan diperbarui. Telemetri sistem membantu memastikan visibilitas bahwa alat berat itu sendiri tidak terganggu.

Aplikasi

Sangat penting bahwa hanya orang yang tepat, pada sistem tepercaya, yang mengakses aplikasi. Oleh karena itu, ekstensi logis di atas adalah untuk memverifikasi bahwa pengguna dan mesin memiliki hak atas aplikasi dan jaringan tempat aplikasi aktif, dan untuk memverifikasi keamanan jaringan tersebut. Di sinilah VPN terkadang masih dapat memainkan peran penting dalam perusahaan tanpa domain, sebagai terowongan aman ke aplikasi atau sumber daya.

Jaringan

Jaringan apa pun yang digunakan pengguna harus seaman mungkin, tetapi meskipun tidak sepenuhnya aman, pengguna dapat membuat enklave aman di dalam jaringan tersebut dengan menggunakan VPN. Selain itu, jaringan dapat diamankan melalui sarana tambahan seperti MFA dan bahkan segmentasi VLAN.

Langkah pertama menuju penerapan arsitektur tanpa domain

Ide arsitektur tanpa domain yang diaktifkan oleh layanan direktori cloud dan keamanan tanpa kepercayaan ini bukan murni filosofis atau aspirasi yang jauh untuk masa depan: Sekarang ada di sini, dan tim TI dapat mulai menerapkannya segera, baik sepenuhnya atau dalam pendekatan bertahap bertahap yang sesuai dengan infrastruktur yang ada.

Untuk organisasi yang sangat berinvestasi dalam domain AD yang berfungsi, layanan direktori cloud dapat menyelimuti instans AD, memberikan banyak manfaat dari model tanpa domain dan berfungsi sebagai batu loncatan untuk model all-cloud.

Layanan direktori cloud yang kuat akan memiliki kemampuan untuk berdiri sendiri sebagai penyedia identitas inti, sehingga bahkan organisasi yang belum siap untuk 100% tanpa domain sekarang memiliki opsi untuk beralih dari AD dengan mulus saat migrasi tersebut masuk akal.

Jika Anda ingin mempelajari lebih lanjut, jelajahi informasi tentang layanan direktori cloud di G2.