SAML dan SSO: Cara Kerja, Kelebihan, dan Bedanya dengan OAuth

Banyak sistem perusahaan terlihat rapi di permukaan, tetapi rapuh di bagian login. Satu sertifikat kedaluwarsa atau konfigurasi yang tidak sinkron bisa membuat ratusan karyawan gagal mengakses email, HRIS, atau dashboard internal dalam waktu bersamaan. 

Di balik skema akses terpusat seperti itu, biasanya ada SAML yang bekerja sebagai penghubung identitas dan aplikasi.

SAML adalah singkatan dari Security Assertion Markup Language, sebuah standar berbasis XML yang memungkinkan pertukaran data autentikasi antara dua pihak: identity provider (IdP) dan service provider (SP). 

Sederhananya, SAML memungkinkan sebuah aplikasi mempercayai hasil verifikasi identitas dari sistem lain tanpa harus memverifikasi ulang password pengguna.

 

Fungsi Autentikasi dalam SAML

Dalam sistem tradisional, setiap aplikasi menyimpan dan memverifikasi username serta password sendiri. Model ini berisiko karena kredensial tersebar di banyak tempat. SAML memindahkan proses autentikasi ke satu pusat, yaitu identity provider.

Contoh nyata: seorang karyawan login ke portal perusahaan menggunakan akun kantor. Portal tersebut bertindak sebagai IdP. 

Setelah login berhasil, ketika ia membuka aplikasi lain seperti sistem absensi atau manajemen proyek, aplikasi tersebut tidak lagi meminta password. Mereka hanya menerima “assertion” dari IdP sebagai bukti bahwa pengguna sudah terverifikasi.

Assertion ini berisi informasi seperti identitas pengguna, waktu autentikasi, dan atribut tertentu (misalnya peran atau divisi). Semua dikirim dalam format terstruktur dan ditandatangani secara digital agar tidak bisa dimanipulasi.

Model ini memudahkan pengelolaan akses. Ketika karyawan resign, admin cukup menonaktifkan akun di IdP. Akses ke seluruh sistem otomatis terputus tanpa perlu mencabut satu per satu.

 

Cara Kerja Single Sign-On (SSO)

SAML sering dikaitkan dengan Single Sign-On atau SSO. SSO adalah konsep di mana pengguna cukup login satu kali untuk mengakses banyak layanan.

Alurnya kurang lebih seperti ini. Pertama, pengguna mencoba membuka sebuah aplikasi (SP). Aplikasi tersebut tidak langsung meminta password, tetapi mengarahkan pengguna ke IdP. 

Setelah login berhasil di IdP, sistem mengirimkan assertion kembali ke aplikasi tujuan. Aplikasi memverifikasi tanda tangan digital dan memberikan akses.

Dalam praktiknya, integrasi ini memerlukan konfigurasi metadata, pertukaran sertifikat publik, serta pengaturan endpoint seperti Assertion Consumer Service (ACS). 

Kesalahan kecil, seperti URL ACS yang berubah saat deploy atau jam server yang tidak sinkron (clock skew), bisa membuat assertion dianggap tidak valid.

Karena itu, SSO berbasis SAML bukan hanya soal kemudahan login, tetapi juga tentang disiplin konfigurasi dan pengelolaan sertifikat.

 

Peran Identity Provider

Identity provider adalah pusat kendali identitas. Ia menyimpan kredensial, menerapkan kebijakan keamanan seperti multi-factor authentication, serta mengelola atribut pengguna.

Di banyak perusahaan, IdP bisa berupa layanan seperti Active Directory yang diintegrasikan dengan solusi cloud. Service provider, di sisi lain, adalah aplikasi yang menerima assertion dan memberikan akses berdasarkan informasi tersebut.

Hubungan antara IdP dan SP dibangun melalui mekanisme trust berbasis sertifikat digital. Jika sertifikat signing di IdP kedaluwarsa dan belum diperbarui di SP, maka seluruh proses login bisa gagal. 

Inilah sebabnya rotasi sertifikat dan pemantauan masa berlaku menjadi bagian penting dalam operasional SAML.

 

Kelebihan SAML

SAML menawarkan autentikasi terpusat yang mengurangi duplikasi penyimpanan password. Risiko kebocoran akibat praktik password yang lemah dapat ditekan karena pengguna tidak perlu membuat banyak akun terpisah.

Dari sisi administrasi, kontrol akses menjadi lebih sederhana. Pengaturan hak akses bisa berbasis atribut atau grup di IdP. Selain itu, pengalaman pengguna meningkat karena login hanya dilakukan sekali dalam satu sesi kerja.

SAML juga matang secara standar dan telah lama digunakan di lingkungan perusahaan besar, institusi pendidikan, serta organisasi dengan banyak aplikasi internal.

 

Keterbatasan SAML

Meski stabil dan aman, SAML memiliki tantangan. Format berbasis XML relatif kompleks dibandingkan pendekatan token modern yang lebih ringan. Implementasi awal sering kali membutuhkan koordinasi teknis yang detail antara tim aplikasi dan tim infrastruktur.

Selain itu, SAML lebih optimal untuk aplikasi web tradisional. Integrasi dengan aplikasi mobile atau arsitektur berbasis API terkadang membutuhkan solusi tambahan.

Ketergantungan pada IdP juga menjadi titik kritis. Jika IdP mengalami gangguan, seluruh sistem yang terhubung bisa ikut terdampak. Karena itu, ketersediaan tinggi dan redundansi menjadi pertimbangan penting.

 

Perbandingan SAML dan OAuth

SAML dan OAuth sering disamakan, padahal fokusnya berbeda. SAML dirancang untuk autentikasi dan SSO, terutama di lingkungan organisasi dengan banyak aplikasi terintegrasi.

OAuth berfokus pada otorisasi. Misalnya, ketika sebuah aplikasi meminta izin untuk mengakses data Google Drive tanpa mengetahui password akun tersebut, mekanisme yang digunakan adalah OAuth.

Perbedaan teknis lainnya terletak pada format data. SAML menggunakan assertion berbasis XML, sedangkan OAuth (dan turunannya seperti OpenID Connect) menggunakan token berbasis JSON yang lebih ringan dan fleksibel untuk API serta aplikasi modern.

Jika kebutuhan utamanya adalah login terpusat antar aplikasi web perusahaan, SAML sering menjadi pilihan. Jika kebutuhan utamanya adalah memberikan izin akses terbatas ke API atau data pihak ketiga, OAuth lebih relevan.

 

Kesimpulan

SAML adalah standar autentikasi yang memungkinkan pertukaran identitas secara aman antara identity provider dan service provider. Teknologi ini menjadi fondasi bagi implementasi Single Sign-On di banyak organisasi.

Dengan autentikasi terpusat, pengelolaan akses menjadi lebih efisien dan terkontrol. Namun, implementasi yang kurang disiplin dapat menimbulkan gangguan akses secara luas. 

Memahami cara kerja SAML, peran identity provider, serta perbedaannya dengan OAuth membantu menentukan solusi yang tepat sesuai kebutuhan sistem dan skala organisasi.

 

 

Itulah informasi menarik tentang Blockchain yang bisa kamu dalami lebih lanjut di kumpulan artikel kripto dari Indodax Academy. Selain mendapatkan insight mendalam lewat berbagai artikel edukasi crypto terpopuler, kamu juga bisa memperluas wawasan lewat kumpulan tutorial serta memilih dari beragam artikel populer yang sesuai minatmu.

Selain update pengetahuan, kamu juga bisa langsung pantau harga aset digital di Indodax Market dan ikuti perkembangan terkini lewat berita crypto terbaru. Untuk pengalaman trading lebih personal, jelajahi juga layanan OTC trading dari Indodax. Jangan lupa aktifkan notifikasi agar kamu nggak ketinggalan informasi penting seputar blockchain, aset kripto, dan peluang trading lainnya.

Kamu juga bisa ikutin berita terbaru kami lewat Google News agar akses informasi lebih cepat dan terpercaya. Untuk pengalaman trading mudah dan aman, download aplikasi crypto terbaik dari INDODAX di App Store atau Google Play Store.

Maksimalkan aset kripto kamu dengan fitur INDODAX staking crypto, cara praktis buat dapetin penghasilan pasif dari aset yang disimpan. Segera register di INDODAX dan lakukan KYC dengan mudah untuk mulai trading crypto lebih aman, nyaman, dan terpercaya!

Dalam praktekknya, transparansi aset kini diadopsi oleh sejumlah platform kripto, salah satunya melalui publikasi data Proof of Reserves (PoR) dari pihak ketiga seperti CoinMarketCap. Di Indonesia, Indodax termasuk platform yang secara rutin memperbarui informasi tersebut agar dapat diakses publik.

 

Kontak Resmi Indodax
Nomor Layanan Pelanggan: (021) 5065 8888 | Email Bantuan: [email protected]

 

Ikuti juga sosial media kami di sini: Instagram, X, Youtube & Telegram

 

FAQ

1. Apakah SAML hanya digunakan perusahaan besar?
   Tidak selalu, tetapi paling umum digunakan di organisasi dengan banyak aplikasi terintegrasi.

2. Apakah SAML menggantikan OAuth?
   Tidak. Keduanya memiliki fungsi berbeda dan bisa digunakan berdampingan.

3. Mengapa sertifikat penting dalam SAML?
   Sertifikat digunakan untuk menandatangani assertion agar service provider dapat memverifikasi keasliannya.

4. Apakah SAML mendukung multi-factor authentication?
   Ya, karena proses autentikasi dilakukan di identity provider yang bisa menerapkan kebijakan keamanan tambahan.

 

 

  

 

Author:  ON