{"id":5637,"date":"2026-10-21T07:23:22","date_gmt":"2026-10-21T00:23:22","guid":{"rendered":"https:\/\/dtisolution.id\/blog\/?p=5637"},"modified":"2026-10-21T07:23:22","modified_gmt":"2026-10-21T00:23:22","slug":"yubikey-microsoft-365-google-workspace-integrasi-sso","status":"publish","type":"post","link":"https:\/\/dtisolution.id\/blog\/yubikey-microsoft-365-google-workspace-integrasi-sso\/","title":{"rendered":"YubiKey Microsoft 365 &#038; Google Workspace: Cara Integrasi SSO"},"content":{"rendered":"<div class=\"dti-snippet-answer\" style=\"margin:0 0 24px;padding:16px 20px;border-left:4px solid #E85A5A;background:#fdf6f6;border-radius:6px\"><strong>Jawaban singkat:<\/strong> YubiKey bisa dipakai di Microsoft 365 lewat metode Passkey (FIDO2) di Microsoft Entra ID, lalu diwajibkan dengan Conditional Access berjenis phishing-resistant MFA. Di Google Workspace, admin mengaktifkan 2-Step Verification dengan opsi hanya security key. Bila kedua platform tersambung SSO, verifikasi YubiKey cukup diwajibkan di identity provider utama.<\/div>\n<p>Banyak kasus pengambilalihan akun email perusahaan tidak berawal dari kata sandi yang lemah. Polanya lebih sederhana: karyawan menerima tautan &#8220;dokumen dibagikan&#8221;, membuka halaman login yang mirip portal Outlook, lalu mengetikkan kata sandi sekaligus kode OTP. Penyerang meneruskan keduanya ke server asli dan mengambil cookie sesi. Menerapkan <strong>YubiKey Microsoft 365<\/strong> dan Google Workspace memutus rantai itu, karena kunci FIDO2 hanya mau menandatangani permintaan login dari domain yang memang terdaftar. Artikel ini membahas sisi integrasinya: di mana kunci didaftarkan, siapa yang memverifikasi, dan konfigurasi apa yang sering terlewat.<\/p>\n<figure style=\"margin:20px 0\"><img decoding=\"async\" src=\"https:\/\/dtisolution.id\/blog\/wp-content\/uploads\/2026\/09\/dti-weekly-1790560874-yubikey-5c-nfc.jpg\" alt=\"Ilustrasi YubiKey \u2014 YubiKey Microsoft 365 &amp; Google Workspace: Cara Integrasi SSO\" style=\"max-width:100%;height:auto;border-radius:8px\" title=\"\"><figcaption style=\"font-size:13px;color:#5B6B85;margin-top:6px\">YubiKey dari DTI.<\/figcaption><\/figure>\n<p>Mekanisme kriptografinya tidak kami ulang di sini. Bila Anda perlu dasar teorinya, baca dulu <a href=\"\/blog\/fido2-webauthn-cara-kerja-lebih-aman-dari-otp-sms\/\">penjelasan cara kerja FIDO2 WebAuthn dan alasan ia lebih aman dari OTP<\/a>.<\/p>\n<h2>Tentukan dulu siapa identity provider-nya<\/h2>\n<p>Kesalahan desain paling umum adalah mengaktifkan security key di dua tempat tanpa memikirkan alur SSO. Hasilnya, pengguna diminta menyentuh kunci dua kali, atau lebih buruk lagi, salah satu jalur login ternyata masih menerima SMS. Sebelum membagikan satu pun <a href=\"https:\/\/dtisolution.id\/id\/produk\/yubikey-security-key\">YubiKey security key untuk Microsoft 365 dan Google Workspace<\/a>, petakan dulu arsitektur identitas Anda. Umumnya ada tiga pola:<\/p>\n<ul>\n<li><strong>Microsoft Entra ID sebagai IdP utama.<\/strong> Google Workspace dikonfigurasi dengan SSO berbasis SAML ke Entra ID. Pengguna login ke Gmail atau Drive, dialihkan ke halaman Microsoft, dan YubiKey diverifikasi di sana.<\/li>\n<li><strong>Google sebagai IdP utama.<\/strong> Lebih jarang di sektor keuangan, tetapi ada di organisasi yang lahir dengan Google Workspace. Aplikasi lain, termasuk Microsoft 365, menerima identitas dari Google.<\/li>\n<li><strong>Dua tenant berdiri sendiri.<\/strong> Tidak ada federasi; pengguna punya dua akun dan dua kebijakan MFA. YubiKey tetap bisa dipakai, karena satu kunci FIDO2 dapat menyimpan kredensial untuk banyak layanan, tetapi administrasinya ganda.<\/li>\n<\/ul>\n<p>Prinsipnya: verifikasi phishing-resistant diwajibkan di IdP yang benar-benar memeriksa identitas. Pada pola SSO, kebijakan 2-Step Verification Google pada umumnya tidak berlaku untuk pengguna yang login lewat IdP pihak ketiga, sehingga kontrolnya harus ditegakkan di Entra ID.<\/p>\n<h2>Konfigurasi YubiKey Microsoft 365 di Microsoft Entra ID<\/h2>\n<h3>Aktifkan metode Passkey (FIDO2)<\/h3>\n<p>Di Microsoft Entra admin center, buka menu Authentication methods, lalu aktifkan metode Passkey (FIDO2) untuk grup pilot terlebih dahulu. Dua pengaturan layak diperhatikan. Pertama, <em>enforce attestation<\/em>, agar hanya autentikator yang bisa membuktikan asal-usul perangkatnya yang diterima. Kedua, pembatasan berdasarkan AAGUID, yaitu pengenal model autentikator. Dengan daftar AAGUID, Anda bisa membatasi pendaftaran hanya untuk model YubiKey yang dibeli perusahaan, misalnya seri FIPS, dan menolak kunci pribadi yang dibawa karyawan dari rumah.<\/p>\n<h3>Wajibkan lewat Conditional Access<\/h3>\n<p>Mengaktifkan metode belum berarti mewajibkannya. Selama pengguna masih punya Microsoft Authenticator atau nomor telepon terdaftar, penyerang akan memilih jalur terlemah. Buat kebijakan Conditional Access dengan kontrol <em>Require authentication strength<\/em> dan pilih kekuatan bawaan <em>Phishing-resistant MFA<\/em>. Mulailah dari kelompok berisiko tinggi: administrator tenant, tim treasury, dan pengguna yang memegang akses ke sistem pembayaran.<\/p>\n<h3>Pendaftaran pengguna dengan Temporary Access Pass<\/h3>\n<p>Ada masalah ayam dan telur: untuk mendaftarkan YubiKey, pengguna harus login dulu, padahal login-nya nanti mewajibkan YubiKey. Temporary Access Pass (TAP) menyelesaikannya. Helpdesk menerbitkan kode sekali pakai dengan masa berlaku pendek setelah verifikasi identitas tatap muka, lalu pengguna mendaftarkan kunci di halaman Security info. Alur ini sekaligus menghasilkan jejak audit siapa yang menerbitkan TAP dan kapan.<\/p>\n<p>Untuk perangkat Windows yang sudah Entra-joined, kunci yang sama dapat dipakai untuk masuk ke Windows. Organisasi yang sudah memakai PKI internal juga bisa memanfaatkan slot PIV pada YubiKey 5 untuk certificate-based authentication, meski ini proyek tersendiri.<\/p>\n<h2>Konfigurasi di Google Workspace<\/h2>\n<h3>2-Step Verification dengan opsi hanya security key<\/h3>\n<p>Bila Google Workspace berdiri sendiri atau menjadi IdP, buka Admin console, masuk ke pengaturan Security lalu 2-Step Verification. Aktifkan enforcement untuk unit organisasi tertentu dan pada bagian metode yang diizinkan, pilih <em>Only security key<\/em>. Beri masa pendaftaran yang cukup, karena pengguna yang belum mendaftarkan kunci setelah enforcement berlaku akan terkunci di luar. Untuk eksekutif dan admin super, pertimbangkan Advanced Protection Program yang menambahkan pembatasan akses aplikasi pihak ketiga.<\/p>\n<h3>Jika login Google melewati Entra ID<\/h3>\n<p>Pada pola federasi, pekerjaan di sisi Google justru lebih sedikit. Pastikan profil SSO diterapkan ke semua unit organisasi yang relevan, lalu sisakan hanya akun super admin darurat yang login langsung ke Google. Akun itulah yang wajib dilindungi YubiKey di sisi Google, karena ia melewati Entra ID sepenuhnya.<\/p>\n<h2>Perbandingan pengaturan di kedua platform<\/h2>\n<table>\n<thead>\n<tr>\n<th>Aspek<\/th>\n<th>Microsoft Entra ID (Microsoft 365)<\/th>\n<th>Google Workspace<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>Lokasi pengaturan<\/td>\n<td>Authentication methods, Passkey (FIDO2)<\/td>\n<td>Admin console, Security, 2-Step Verification<\/td>\n<\/tr>\n<tr>\n<td>Cara mewajibkan<\/td>\n<td>Conditional Access, authentication strength Phishing-resistant MFA<\/td>\n<td>Enforcement 2SV, metode &#8220;Only security key&#8221;<\/td>\n<\/tr>\n<tr>\n<td>Pembatasan model kunci<\/td>\n<td>Attestation dan daftar AAGUID<\/td>\n<td>Terbatas; kontrol lebih banyak lewat kebijakan pengguna<\/td>\n<\/tr>\n<tr>\n<td>Bootstrap pendaftaran<\/td>\n<td>Temporary Access Pass<\/td>\n<td>Masa tenggang pendaftaran, backup code dari admin<\/td>\n<\/tr>\n<tr>\n<td>Login perangkat<\/td>\n<td>Windows sign-in untuk perangkat Entra-joined<\/td>\n<td>Tidak relevan untuk Windows secara bawaan<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Jebakan yang sering muncul saat rollout<\/h2>\n<p><strong>Protokol lama masih terbuka.<\/strong> FIDO2 tidak berfungsi pada IMAP, POP, atau SMTP AUTH. Jika ada printer multifungsi atau aplikasi internal yang mengirim email lewat SMTP AUTH dengan akun biasa, akun itu menjadi pintu belakang. Blokir legacy authentication dan pindahkan kebutuhan relay ke akun layanan atau connector yang dibatasi alamat IP.<\/p>\n<p><strong>Akun break-glass dilupakan.<\/strong> Setiap tenant perlu minimal dua akun darurat yang dikecualikan dari kebijakan tertentu agar Anda tidak terkunci ketika Conditional Access salah konfigurasi. Akun ini tetap harus dilindungi, idealnya dengan YubiKey khusus yang disimpan di brankas terpisah dan dipantau setiap kali dipakai.<\/p>\n<p><strong>Hanya satu kunci per orang.<\/strong> Kunci yang hilang di bandara berarti pengguna tidak bisa bekerja sampai helpdesk menerbitkan TAP. Standar yang lebih realistis adalah dua kunci per pengguna: satu dipakai harian, satu cadangan yang didaftarkan sekaligus. Pemilihan model, konektor USB-A atau USB-C, dan dukungan NFC untuk ponsel kami bahas di <a href=\"\/blog\/memilih-yubikey-untuk-perusahaan-panduan-lengkap\/\">panduan memilih YubiKey untuk perusahaan<\/a>.<\/p>\n<p><strong>Helpdesk menjadi celah baru.<\/strong> Begitu phishing gagal, penyerang beralih menelepon helpdesk dan mengaku kehilangan kunci. Prosedur penerbitan TAP atau reset 2SV harus mewajibkan verifikasi identitas yang tidak bisa dipalsukan lewat telepon, misalnya konfirmasi atasan langsung atau kehadiran fisik.<\/p>\n<h2>Posisi regulasi di Indonesia<\/h2>\n<p>Tidak ada regulasi Indonesia yang secara eksplisit mewajibkan YubiKey atau FIDO2. Yang ada adalah kewajiban pengamanan yang menuntut kontrol autentikasi memadai. UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi mewajibkan pengendali data melindungi dan memastikan keamanan data pribadi melalui langkah teknis operasional. PP 71\/2019 menuntut penyelenggara sistem elektronik menjalankan sistem secara andal dan aman. Bagi bank umum, POJK 11\/POJK.03\/2022 tentang penyelenggaraan teknologi informasi menempatkan manajemen akses dan autentikasi sebagai bagian manajemen risiko TI. Kotak surat Microsoft 365 dan Google Drive berisi data nasabah, sehingga pengamanannya ikut masuk lingkup tersebut. Pembahasan lebih lengkap untuk sektor keuangan tersedia di <a href=\"\/blog\/mfa-tahan-phishing-panduan-lengkap-enterprise-perbankan\/\">panduan MFA tahan phishing untuk enterprise dan perbankan<\/a>.<\/p>\n<p>Security key tidak menggantikan kewajiban itu. Perannya adalah bukti kontrol yang mudah ditunjukkan saat audit: log Entra ID atau Google memperlihatkan metode autentikasi setiap login, dan kebijakan Conditional Access terdokumentasi sebagai konfigurasi.<\/p>\n<h3>Pertanyaan yang sering diajukan<\/h3>\n<p><strong>Apakah satu YubiKey bisa dipakai untuk Microsoft 365 dan Google Workspace sekaligus?<\/strong><\/p>\n<p>Bisa. Satu kunci FIDO2 dapat menyimpan kredensial terpisah untuk banyak layanan, masing-masing terikat pada domainnya sendiri. Jika kedua platform sudah terfederasi, pengguna cukup memverifikasi di identity provider utama.<\/p>\n<p><strong>Apakah YubiKey berfungsi di aplikasi Outlook dan Teams di ponsel?<\/strong><\/p>\n<p>Umumnya bisa, melalui NFC atau konektor USB-C\/Lightning, selama aplikasi memakai modern authentication. Uji dulu pada model ponsel yang dipakai karyawan sebelum enforcement diberlakukan penuh.<\/p>\n<p><strong>Apa yang terjadi jika pengguna kehilangan kuncinya?<\/strong><\/p>\n<p>Pengguna memakai kunci cadangan yang sudah didaftarkan. Bila tidak punya, helpdesk menerbitkan Temporary Access Pass di Entra ID atau backup code di Google setelah verifikasi identitas, lalu kunci yang hilang segera dihapus dari akun.<\/p>\n<p><strong>Apakah perlu seri YubiKey FIPS?<\/strong><\/p>\n<p>Tidak diwajibkan regulasi Indonesia. Seri FIPS relevan bila organisasi Anda mengacu pada standar validasi kriptografi tertentu, misalnya karena kebijakan grup global atau persyaratan kontrak dengan mitra luar negeri.<\/p>\n<div class=\"dti-product-cta\" style=\"margin:28px 0;padding:18px 20px;border-left:4px solid #2C4A7E;background:#f4f6fa;border-radius:6px\"><strong>Butuh security key hardware untuk organisasi Anda?<\/strong><br \/>Pelajari <a href=\"https:\/\/dtisolution.id\/id\/produk\/yubikey-security-key\"><strong>YubiKey security key resmi dari DTI<\/strong><\/a>.<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Cara integrasi YubiKey Microsoft 365 dan Google Workspace SSO: pilihan identity provider, Conditional Access, 2SV security key, dan jebakan saat rollout.<\/p>\n","protected":false},"author":19941,"featured_media":5636,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1466],"tags":[],"coauthors":[1470],"class_list":["post-5637","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-security"],"_links":{"self":[{"href":"https:\/\/dtisolution.id\/blog\/wp-json\/wp\/v2\/posts\/5637","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/dtisolution.id\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/dtisolution.id\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/dtisolution.id\/blog\/wp-json\/wp\/v2\/users\/19941"}],"replies":[{"embeddable":true,"href":"https:\/\/dtisolution.id\/blog\/wp-json\/wp\/v2\/comments?post=5637"}],"version-history":[{"count":1,"href":"https:\/\/dtisolution.id\/blog\/wp-json\/wp\/v2\/posts\/5637\/revisions"}],"predecessor-version":[{"id":5737,"href":"https:\/\/dtisolution.id\/blog\/wp-json\/wp\/v2\/posts\/5637\/revisions\/5737"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/dtisolution.id\/blog\/wp-json\/wp\/v2\/media\/5636"}],"wp:attachment":[{"href":"https:\/\/dtisolution.id\/blog\/wp-json\/wp\/v2\/media?parent=5637"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/dtisolution.id\/blog\/wp-json\/wp\/v2\/categories?post=5637"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/dtisolution.id\/blog\/wp-json\/wp\/v2\/tags?post=5637"},{"taxonomy":"author","embeddable":true,"href":"https:\/\/dtisolution.id\/blog\/wp-json\/wp\/v2\/coauthors?post=5637"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}