Identity as a Service:Kebijakan Akses Kondisional

Pendahuluan

Kebijakan akses kondisional memungkinkan Anda menerapkan keputusan berbeda untuk skenario akses yang berbeda, seperti mewajibkan metode otentikasi dua faktor yang berbeda untuk aplikasi yang berbeda.

Kebijakan kustom memerlukan pembelian terpisah (Penagihan Akses Kondisional). Kebijakan default dapat digunakan secara gratis.

Konsep Utama

Istilah	Deskripsi
Custom policy	Memungkinkan Anda menentukan kondisi kustom, seperti pengunjung, objek yang dapat diakses, dan pembatasan. Fitur ini memerlukan modul akses kondisional.
Default policy	Kebijakan sistem yang telah dikonfigurasi sebelumnya di instans IDaaS EIAM Anda. Anda dapat menyesuaikan pengaturan otentikasi dua faktor-nya, tetapi tidak dapat mengkustomisasi kondisi lainnya.
Access condition	Sistem membuat keputusan akses hanya ketika konteks akses sesuai dengan semua kondisi dalam kebijakan tersebut. Jika tidak, sistem akan mengevaluasi kebijakan dengan prioritas lebih rendah.
Access decision	Aksi yang diambil ketika semua kondisi akses terpenuhi. Aksi yang tersedia adalah mengizinkan akses, menolak akses, atau mewajibkan otentikasi dua faktor.

Tambahkan kebijakan akses kondisional kustom

Untuk menambahkan kebijakan akses kondisional kustom, klik Login > Conditional Access Policy > Add Policy. Anda dapat menambahkan hingga 10 kebijakan kustom.

Bagian default policy pada halaman ini berisi kebijakan default yang telah dikonfigurasi sebelumnya. Access decision-nya adalah allow access dan mewajibkan otentikasi dua faktor. Kebijakan ini berlaku untuk semua akun, organisasi, dan kelompok, memiliki prioritas 1001, serta diaktifkan secara default.

Langkah 1: Informasi Dasar

• Nama kebijakan: Masukkan nama untuk kebijakan tersebut. Nama ini hanya ditampilkan di Konsol dan tidak terlihat oleh pengguna akhir.

• Prioritas: Setiap permintaan akses hanya memicu satu kebijakan akses kondisional. Anda dapat mengatur prioritas untuk menerapkan kontrol akses yang fleksibel. Masukkan nilai dari 1 hingga 100. Nilai yang lebih kecil menunjukkan prioritas yang lebih tinggi.

Langkah 2: Objek yang Dapat Diakses

Objek yang dapat diakses adalah aplikasi yang dilindungi oleh kebijakan tersebut. Anda dapat memilih All Applications atau Specific Application.

• All Applications: Kondisi ini terpenuhi ketika aplikasi apa pun diakses.

• Specific Application: Kondisi ini hanya terpenuhi ketika aplikasi tertentu diakses. Anda dapat memilih IDaaS Application Portal atau aplikasi lain yang telah Anda buat di instans tersebut.

Langkah 3: Pengunjung

Pengunjung adalah akun yang menginisiasi permintaan akses. Anda dapat memilih All Accounts, All Groups, atau Specific Account.

• All Accounts: Akun apa pun memenuhi kondisi ini.

• All Groups: Kondisi ini terpenuhi jika akun tersebut termasuk dalam kelompok apa pun.

• Specific Account: Hanya akun yang ditentukan yang memenuhi kondisi ini. Anda dapat memilih akun secara langsung atau berdasarkan organisasi atau kelompok.

Anda juga dapat menggunakan Exclude Visitors untuk menentukan akun yang tidak akan memenuhi kondisi ini, sehingga mencegah mereka memicu kebijakan ini.

Klik tautan Set untuk mengonfigurasi aturan pengecualian. Anda dapat mengecualikan akun secara langsung atau berdasarkan organisasi atau kelompok. Mengecualikan suatu organisasi mencegah semua akun di dalamnya memicu kebijakan ini, bahkan jika akun tersebut secara individual ditentukan dalam cakupan pengunjung.

Langkah 4: Kondisi

Network scope adalah entitas yang dapat Anda definisikan secara independen, memungkinkan Anda menyesuaikan alamat IP secara dinamis tanpa mengubah konfigurasi lainnya. Anda dapat mengelolanya di pengaturan Network Scope. Untuk kondisi ini, Anda dapat memilih No network scope restrictions atau Specific network scope.

• No network scope restrictions: Pengunjung memenuhi kondisi ini terlepas dari lokasi jaringannya (alamat IP).

• Specific network scope: Kondisi ini hanya terpenuhi ketika permintaan akses berasal dari network scope (alamat IP) tertentu.

Langkah 5: Keputusan Akses

Ketika permintaan akses memenuhi semua kondisi kebijakan, kebijakan tersebut dipicu, dan IDaaS menerapkan keputusan akses yang ditentukan: izinkan akses, tolak akses, atau wajibkan otentikasi dua faktor.

• Allow access: Mengizinkan permintaan akses ketika kebijakan dipicu. Anda dapat mengonfigurasi pengaturan tambahan untuk meningkatkan keamanan atau kenyamanan:

  • Select two-factor authentication mode: Mengontrol apakah otentikasi dua faktor diperlukan.

    • Do Not Require Two-Factor Authentication: Akun dapat mengakses aplikasi secara langsung tanpa menyelesaikan otentikasi dua faktor.

    • Custom Two-Factor Authentication: Akun harus menyelesaikan otentikasi dua faktor menggunakan salah satu metode yang ditentukan. Misalnya, Anda dapat mewajibkan metode autentikasi yang lebih ketat untuk aplikasi yang sangat sensitif.

  • Select two-factor authentication methods: Pilih satu atau beberapa metode autentikasi yang boleh digunakan oleh akun. Akun harus lolos autentikasi menggunakan salah satu metode yang dipilih.

  • Automatic MFA pass-through: Jika akun sudah login dan sesi saat ini memenuhi kondisi kebijakan, akun tersebut dapat melewati otentikasi dua faktor. Misalnya, jika Aplikasi A dan B sama-sama dilindungi oleh kebijakan akses kondisional yang sama yang mewajibkan kode verifikasi SMS, akun yang telah mengakses Aplikasi A dapat mengakses Aplikasi B tanpa melakukan autentikasi ulang.

  • Automatic MFA pass-through validity period: Tetapkan periode validitas untuk fitur ini guna mencegah penyalahgunaan dan memastikan keamanan akses.

• Deny access: Menolak permintaan akses ketika kebijakan dipicu.

Hapus kebijakan akses kondisional kustom

Anda dapat menghapus secara manual kebijakan akses kondisional kustom. Sebelum menghapus, Anda harus menonaktifkan kebijakan tersebut. Untuk menghindari gangguan pada akses pengguna, pantau akses setelah menonaktifkan kebijakan untuk memastikan tidak ada masalah. Penghapusan bersifat permanen.

Kebijakan akses kondisional default

Kebijakan akses kondisional default berfungsi sebagai kebijakan dengan prioritas terendah. Kebijakan ini selalu berlaku untuk semua akun dan aplikasi, serta cakupan dan kondisinya tidak dapat disesuaikan. Untuk mengaktifkan atau menonaktifkan otentikasi dua faktor, atau mengubah metode autentikasi, buka halaman Otentikasi Dua Faktor.

Kasus Penggunaan

Skenario	Kebijakan	Konfigurasi	Deskripsi
Izinkan login ke IDaaS (atau aplikasi tertentu) hanya dari IP kantor	Policy 1	Prioritas: 1 Application scope: All Visitor scope: All Client network scope: IP kantor Anda Access decision: Allow access	Kebijakan berprioritas tinggi ini mengizinkan akses jika kondisi IP terpenuhi.
	Policy 2	Prioritas: 2 Application scope: All Visitor scope: All Client network scope: No restrictions Access decision: Deny access	Kebijakan berprioritas lebih rendah ini menolak akses jika Policy 1 tidak dipicu.
Wajibkan login WebAuthn untuk otentikasi dua faktor pada aplikasi tertentu	Policy 3	Prioritas: 1 Application scope: Tentukan aplikasi yang akan dilindungi Visitor scope: All Client network scope: No restrictions Access decision: Allow access Select two-factor authentication mode: Custom Two-Factor Authentication, pilih WebAuthn Automatic MFA pass-through: Any	Saat mengakses aplikasi yang ditentukan, pengguna harus menyelesaikan otentikasi dua faktor menggunakan WebAuthn (seperti sidik jari lokal atau pengenalan wajah).
Wajibkan otentikasi dua faktor untuk setiap akses ke aplikasi yang sangat sensitif	Policy 4	Prioritas: 1 Application scope: Tentukan aplikasi yang akan dilindungi Visitor scope: All Client network scope: No restrictions Access decision: Allow access Select Two-Factor Authentication Mode: Custom Two-Factor Authentication Automatic MFA Pass-through: Disabled	Setiap single sign-on (SSO) ke aplikasi tersebut memerlukan otentikasi dua faktor.
Persyaratan akses berbeda untuk akun di Group A dan Group B	Policy 5	Prioritas: 1 Application scope: All Visitor scope: Group A Client network scope: No restrictions Access decision: Allow access	Ini adalah kebijakan akses kondisional untuk Group A.
	Policy 6	Prioritas: 1 Application scope: All Visitor scope: Group B Client network scope: No restrictions Access decision: Allow access Select Two-Factor Authentication Mode: Custom Two-Factor Authentication	Ini adalah kebijakan akses kondisional untuk Group B.