Microsoft 365 / Pengaturan MFA: default keamanan atau akses bersyarat?

Saat menerapkan autentikasi multi-faktor (MFA) di Microsoft 365, jika Anda memerlukan perlindungan dasar sederhana untuk seluruh organisasi, tinjau Security Defaults. Jika Anda memerlukan kebijakan bersyarat berdasarkan pengguna, aplikasi, lokasi, atau perangkat, tinjau Conditional Access. Kedua metode ini tidak dimaksudkan untuk diaktifkan secara bersamaan. Conditional Access memerlukan lisensi Microsoft Entra yang sesuai dan desain kebijakan.

Perbedaan antara Security Defaults dan Conditional Access

Menurut Panduan Default Keamanan Microsoft dan Rencana Penerapan Akses Kondisional, default keamanan dan akses kondisional tidak digunakan secara bersamaan. Untuk lisensi spesifik produk, periksa kondisi terbaru di Informasi Lisensi Microsoft Entra.

Pendaftaran MFA, persyaratan, dan penyelesaiannya berbeda

Autentikasi multifaktor (MFA) memverifikasi identitas menggunakan dua atau lebih faktor autentikasi yang berbeda. Kata sandi adalah salah satu faktor yang mungkin; metode tanpa kata sandi yang didukung juga dapat memenuhi persyaratan MFA. Anda perlu memeriksa secara terpisah fakta bahwa aplikasi autentikasi telah terdaftar, bahwa MFA diperlukan untuk login tertentu, dan bahwa persyaratan ini benar-benar dipenuhi. Jika Anda hanya mendaftarkannya tanpa menerapkan kebijakan, perlindungan yang dimaksud mungkin tidak tercapai.

Sebaliknya, ketiadaan permintaan autentikasi setiap saat tidak berarti MFA dimatikan. Status autentikasi sesi atau token yang ada mungkin telah dikenali, sehingga ditentukan dari catatan login. Bahkan jika layar MFA per-pengguna lama menunjukkan “Dinonaktifkan”, MFA mungkin diterapkan melalui pengaturan keamanan default atau akses bersyarat. Jangan mengaktifkan MFA per-pengguna lama semata-mata berdasarkan indikasi ini.

Pertanyaan yang perlu diperiksa sebelum membuat keputusan

• Kebijakan autentikasi mana yang sudah diaktifkan di tenant (direktori organisasi) saat ini? Tenant baru mungkin telah mengaktifkan pengaturan keamanan default.
• Metode autentikasi mana yang telah didaftarkan oleh administrator dan pengguna biasa? Panduan persiapan pra-implementasi mungkin diperlukan.
• Apakah ada aplikasi atau perangkat lama yang menggunakan autentikasi warisan? Anda perlu memeriksa kemungkinan terhentinya pekerjaan jika diblokir.
• Apakah Anda memiliki akun admin darurat dan prosedur pemulihan yang siap? Semua administrator bisa terkunci akibat kebijakan akses bersyarat yang salah.
• Apakah pengguna memiliki lisensi untuk menggunakan fitur yang diperlukan?

Prosedur untuk meninjau pengaturan keamanan default

1. Masuk ke pusat admin Microsoft Entra dengan izin yang diperlukan.
2. [Entra ID] → [Overview] → [Properties] untuk menemukan lokasi pengelolaan default keamanan. Jika struktur menu telah berubah, cari “Default Keamanan” di pencarian pusat admin.

3. Catat status saat ini dan teliti administrator, pengguna, dan aplikasi yang terdampak. Beri tahu organisasi dan persiapkan pendaftaran autentikasi, lalu putuskan apakah akan diterapkan.
4. Jika Anda memilih default keamanan, terapkan melalui Manage security defaults → Enabled → Save. Mengonfigurasi default keamanan memerlukan setidaknya peran Administrator Akses Bersyarat (Conditional Access Administrator). Pandu pengguna melalui proses pendaftaran untuk metode autentikasi yang didukung.
5. Periksa alur login baru untuk administrator dan pengguna umum, serta tinjau log pendaftaran dan login autentikasi. Sertakan apakah sesi login yang ada akan dipertahankan dalam rencana penerapan. Pencabutan sesi masuk yang ada memengaruhi pekerjaan pengguna, jadi harus dilakukan dalam lingkup yang disetujui setelah pemberitahuan dan persiapan dukungan.

Pengaturan keamanan default tidak menyediakan cara untuk menambahkan pengecualian bagi pengguna individual. Sebelum mematikan perlindungan default secara keseluruhan hanya karena beberapa perangkat lama perlu melewatinya, tinjau apakah Anda perlu mengubah metode autentikasi untuk perangkat tersebut atau beralih ke desain akses bersyarat. Jangan jadwalkan panduan pengguna berdasarkan periode tenggang pendaftaran MFA dokumen sebelumnya.

Saat memperkenalkan akses bersyarat

Di pusat admin Microsoft Entra, buka Conditional Access → Policies. Tergantung pada tata letak layar, ini mungkin berada di bawah menu keamanan Entra ID atau dapat ditemukan melalui pencarian di pusat admin. Periksa bahwa Anda memiliki peran yang diperlukan untuk membuat atau memodifikasi kebijakan dan bahwa pengguna yang terdampak memiliki lisensi yang diperlukan. Akses bersyarat umum memerlukan Entra ID P1, dan kondisi yang berdasarkan risiko pengguna atau masuk memerlukan P2, dll.

Saat beralih dari pengaturan keamanan default, Anda perlu merancang dan memverifikasi kebijakan alternatif serta menetapkan waktu transisi. Hanya mematikan pengaturan keamanan default dan membuat kebijakan Report-only tidak memberikan perlindungan yang setara. Microsoft merekomendasikan untuk segera mengaktifkan kebijakan perlindungan setelah menonaktifkan default. Oleh karena itu, latihan Report-only berikut harus dilakukan di lingkungan uji di mana perlindungan yang ada tetap dipertahankan atau sesuai dengan rencana transisi, dan tidak digunakan sebagai langkah persiapan untuk pertama-tama menonaktifkan perlindungan di organisasi yang beroperasi.

1. Masukkan nama dalam kebijakan baru yang jelas menunjukkan tujuan dan sasarannya. Misalnya, tulis seperti "Wajibkan MFA untuk pengguna pilot."
2. Sertakan grup uji dalam pengguna dan bandingkan dengan akun target. Akun darurat harus dikecualikan dari kebijakan yang memblokir atau membatasi login sesuai dengan Desain Akun Akses Darurat, dan autentikasi kuat serta pemantauan terpisah harus disiapkan.
3. Tentukan aplikasi/sumber daya yang akan dilindungi dalam sumber daya target. Jangan mengartikan hasil pengujian satu aplikasi secara otomatis berlaku untuk semua layanan.
4. Di bawah kontrol Grant , pilih persyaratan untuk MFA dan simpan status kebijakan sebagai Report-only. Jangan mencampur pemblokiran, perangkat yang patuh, dan kondisi risiko dari awal; periksa efek yang dihasilkan oleh setiap persyaratan.
5. Masuk ke sumber daya dengan akun uji dan periksa target, persyaratan, dan penyebab kegagalan yang diharapkan dari kebijakan dalam hasil Report-only dari peristiwa masuk. Mode Report-only tidak benar-benar menegakkan kontrol akses dari kebijakan ini.

Verifikasi sebelum dan sesudah aktivasi serta pemulihan

Catat hasil yang diharapkan dalam tabel terlebih dahulu. Misalnya, pengguna uji harus memenuhi persyaratan MFA di aplikasi yang ditentukan, dan pengguna di luar target tidak boleh terpengaruh oleh kebijakan baru. Namun, kebijakan lain atau persyaratan autentikasi yang diwajibkan Microsoft dapat diterapkan secara terpisah, jadi mengecualikan satu kebijakan tidak berarti bebas MFA secara lengkap.

Setelah meninjau hasil Report-only dan tes aktual, atur kebijakan ke On (aktif) dimulai dengan pilot yang disetujui. Kemudian, periksa persyaratan autentikasi dan hasil akses pada login baru dan perluas targetnya. Rencana penerapan Microsoft merekomendasikan meninjau dampak dalam mode Report-only selama setidaknya satu minggu sebelum memberlakukan kebijakan. Gunakan periode pengamatan tersebut untuk mengumpulkan hasil masuk yang representatif untuk peran dan aplikasi kunci; waktu yang telah berlalu saja tidak cukup sebagai validasi.

Jika terjadi masalah, periksa kebijakan yang diterapkan di tab Akses Bersyarat pada peristiwa kegagalan. Jika kebijakan baru menjadi penyebabnya, gunakan jalur akses administratif yang disiapkan untuk mengatur kebijakan tersebut menjadi Report-only atau Off (nonaktif), dan verifikasi bahwa perlindungan yang ada tetap terjaga. Jangan mematikan semua kebijakan sekaligus atau meninggalkannya sebagai pengecualian jangka panjang. Setelah pemulihan, perbaiki target, kondisi, dan metode autentikasi, dan terapkan kembali kebijakan hanya setelah lulus pengujian yang sama lagi.