Federated Identity Management vs. Single Sign-On: Apa Bedanya dan Mana yang Sesuai?

Seorang karyawan baru mulai bekerja pada hari Senin dan langsung membutuhkan akses ke email, aplikasi HR, CRM, hingga sistem keuangan. Pada saat yang sama, vendor eksternal perusahaan juga perlu masuk ke portal proyek tanpa dibuatkan akun baru satu per satu.

Jika semua akses itu dibuat manual dengan kata sandi yang berbeda-beda, tim IT akan kewalahan dan celah keamanan mudah terbuka. Risikonya nyata, sebab menurut laporan Verizon Data Breach Investigations Report 2026, pihak ketiga terlibat dalam 48% dari seluruh kebocoran data, naik 60% dibanding tahun sebelumnya.

Artinya, cara organisasi memberi akses kepada vendor dan mitra ikut menentukan seberapa aman datanya. Dua pendekatan yang paling sering dibahas untuk persoalan ini adalah Federated Identity Management dan Single Sign-On.

Artikel ini membahas Federated Identity Management vs. Single Sign-On dari sisi cakupan, cara kerja, protokol, biaya, dan risiko. Anda juga akan melihat kapan masing-masing pendekatan paling cocok dipakai.

Apa Itu Federated Identity Management?

Federated Identity Management (FIM) adalah sistem yang memungkinkan identitas digital seorang pengguna dikenali oleh beberapa organisasi berbeda yang saling percaya. Pengguna cukup memiliki satu akun di organisasi asalnya, lalu akun itu dipakai untuk masuk ke layanan milik organisasi lain.

Kata kuncinya adalah kepercayaan antarorganisasi. Organisasi asal berperan sebagai identity provider (IdP) yang memverifikasi siapa penggunanya, sedangkan organisasi tujuan menjadi service provider (SP) yang menerima hasil verifikasi tersebut.

Hasil verifikasi dikirim dalam bentuk token atau assertion, bukan kata sandi. Karena itu, service provider tidak perlu menyimpan kredensial milik pengguna dari luar.

Komunikasi ini berjalan lewat standar terbuka seperti SAML, OAuth 2.0, dan OpenID Connect. Standar tersebut membuat dua sistem yang dibangun secara berbeda tetap bisa saling memahami.

Contoh sederhananya, seorang konsultan dari perusahaan mitra membuka portal proyek milik klien. Portal klien tidak meminta akun baru, melainkan mengarahkan konsultan itu untuk login memakai akun kantornya sendiri.

Ketika konsultan tersebut berhenti bekerja di perusahaan mitra, akunnya dinonaktifkan di sana dan akses ke portal klien ikut tertutup. Kendali identitas tetap berada di organisasi yang paling mengenal penggunanya.

Apa Itu Single Sign-On?

Single Sign-On (SSO) adalah mekanisme autentikasi yang memungkinkan pengguna login satu kali untuk mengakses banyak aplikasi tanpa memasukkan kredensial berulang. Seluruh aplikasi tersebut biasanya berada dalam satu organisasi atau satu lingkungan kepercayaan.

Cara kerjanya melibatkan satu identity provider pusat yang memegang data login. Saat pengguna membuka aplikasi pertama, ia diminta login, lalu sesi yang terbentuk dipakai oleh aplikasi lain tanpa meminta login ulang.

Hasilnya, jumlah kata sandi yang harus diingat berkurang drastis. Tim IT pun lebih mudah mengatur siapa boleh mengakses apa dari satu titik.

Bayangkan karyawan sebuah perusahaan logistik yang login ke portal kantor pukul 08.00. Setelah itu ia membuka email, sistem HR, dan dashboard penjualan tanpa mengetik kata sandi lagi sepanjang hari.

SSO adalah kemampuan pengalaman login, sedangkan FIM adalah hubungan kepercayaan antarorganisasi. Keduanya sering memakai protokol yang sama, dan itulah sebabnya banyak orang mengira keduanya identik.

Perbedaan Federated Identity Management dan Single Sign-On

Keduanya sering dianggap sama karena memakai protokol yang mirip, padahal tujuan dan cakupannya berbeda. Tabel berikut merangkum perbedaannya, lalu setiap aspek dijelaskan lebih rinci di bawahnya.

Jika pengguna Anda sebagian besar karyawan internal, kolom SSO yang paling relevan, sedangkan kolom FIM menjadi acuan ketika ada mitra, vendor, atau klien yang perlu masuk. Keduanya bukan lawan yang harus dipilih salah satu, sebab SSO sering menjadi bagian dari sebuah federasi.

Cakupan dan Jenis Pengguna

SSO melayani pengguna yang berada dalam satu organisasi, umumnya karyawan. FIM melayani pengguna dari beberapa organisasi, seperti mitra, vendor, atau klien.

Contohnya, sebuah rumah sakit memakai SSO agar perawat bisa membuka rekam medis dan jadwal jaga dengan satu login. Rumah sakit yang sama memakai FIM ketika dokter dari klinik rujukan perlu melihat hasil laboratorium pasien.

Pemilik dan Pengelolaan Identitas

Pada SSO, satu identity provider internal menyimpan dan mengelola seluruh akun. Tim IT organisasi memegang kendali penuh atas siapa yang punya akun.

Pada FIM, setiap organisasi tetap mengelola akun penggunanya sendiri dan hanya membagikan hasil verifikasinya. Contohnya, perusahaan mitra yang menonaktifkan akun seorang karyawan otomatis menutup akses orang itu ke portal klien.

Cara Kerja Autentikasi

Pada SSO, pengguna login sekali ke identity provider pusat, lalu sesi tersebut dipakai oleh semua aplikasi internal. Aplikasi tidak perlu meminta login ulang selama sesi masih berlaku.

Pada FIM, identity provider milik organisasi asal mengirim token ke aplikasi organisasi lain sebagai bukti identitas. Contohnya, konsultan yang membuka portal klien diarahkan ke halaman login perusahaannya sendiri, lalu kembali membawa token yang diterima portal.

Protokol yang Digunakan

SSO internal biasanya memakai SAML, OpenID Connect, atau Kerberos, tergantung jenis aplikasinya. FIM umumnya memakai SAML, OAuth 2.0, dan OpenID Connect karena standar ini dirancang untuk komunikasi antarorganisasi.

Aplikasi akuntansi lama yang hanya mendukung SAML tetap bisa masuk SSO internal. Jika mitra Anda memakai aplikasi yang hanya mendukung OpenID Connect, platform identitas Anda harus mampu menjembatani keduanya.

Kompleksitas dan Biaya Penerapan

SSO relatif sederhana karena seluruh komponennya berada di bawah satu kendali. Biaya terbesarnya biasanya ada pada integrasi aplikasi lama dan pelatihan pengguna.

FIM lebih rumit karena melibatkan perjanjian, konfigurasi kepercayaan, dan koordinasi dengan tim IT organisasi lain. Contohnya, menghubungkan lima mitra berarti lima kali pengujian koneksi dan lima kesepakatan tentang data yang boleh dipertukarkan.

Risiko Keamanan

Pada SSO, satu akun yang bocor dapat membuka seluruh aplikasi internal sekaligus. Pada FIM, risikonya bertambah karena keamanan akun mitra ikut menentukan keamanan sistem Anda.

Contohnya, penyerang yang mencuri login karyawan mitra bisa masuk ke portal klien jika tidak ada autentikasi multifaktor. Karena itu, MFA dan peninjauan akses berkala wajib dipasang pada kedua pendekatan.

Kapan Memakai SSO, Kapan Memakai FIM, dan Kapan Memakai Keduanya

Setelah memahami perbedaannya, pertanyaan berikutnya adalah mana yang sesuai dengan kondisi organisasi Anda. Tiga skenario berikut dapat menjadi pegangan.

Kapan SSO Sudah Cukup

SSO sudah cukup jika seluruh pengguna Anda adalah karyawan internal dan semua aplikasi dikelola oleh organisasi sendiri. Anda tidak perlu membangun hubungan kepercayaan dengan pihak luar.

Contohnya, sebuah klinik dengan 80 staf memakai SSO untuk sistem rekam medis, email, dan penggajian. Semua staf login sekali di pagi hari, dan tim IT cukup mengelola satu direktori pengguna.

Kapan FIM Diperlukan

FIM diperlukan jika pihak di luar organisasi perlu mengakses sistem Anda dan Anda tidak ingin membuatkan akun baru satu per satu. Cara ini juga cocok untuk layanan pelanggan yang memungkinkan login dengan akun pihak ketiga.

Contohnya, sebuah pabrik mengizinkan 30 pemasok memeriksa status pesanan memakai akun perusahaan masing-masing. Pabrik tidak perlu mengelola 30 set kredensial, dan akun pemasok yang berhenti bekerja otomatis kehilangan akses.

Kapan Keduanya Dipadukan

Banyak organisasi menengah ke atas berada pada posisi ini. Karyawan masuk lewat SSO internal, sedangkan mitra masuk lewat federasi.

Contohnya, perusahaan asuransi memakai SSO untuk agen internal dan federasi untuk broker independen. Kedua kelompok mengakses aplikasi polis yang sama lewat jalur login yang berbeda.

Kesalahan Umum dalam Memilih

Di lapangan, masalah biasanya muncul bukan dari teknologinya, melainkan dari cara memilih dan menerapkannya. Berikut beberapa kesalahan yang paling sering ditemui.

• Menyamakan SSO dengan FIM. Keduanya memiliki cakupan yang berbeda, sehingga produk yang cocok untuk satu kebutuhan belum tentu menjawab kebutuhan lain. Contohnya, perusahaan membeli SSO internal lalu heran ketika mitra eksternalnya tetap tidak bisa login.
• Tidak menulis kesepakatan kepercayaan. Federasi memerlukan aturan jelas tentang data apa yang dipertukarkan dan siapa yang bertanggung jawab jika terjadi insiden. Contohnya, dua perusahaan baru berdebat soal tanggung jawab setelah akun mitra disalahgunakan.
• Mengabaikan log aktivitas login. Tanpa catatan, pola login yang janggal sulit terdeteksi. Contohnya, login dari dua negara berbeda dalam satu jam lolos begitu saja karena tidak ada yang memeriksa log.
• Menunda aplikasi lama. Aplikasi yang belum terhubung ke sistem identitas pusat tetap memakai kata sandi sendiri dan menjadi titik terlemah. Contohnya, sistem inventaris lama masih memakai kata sandi yang sama selama lima tahun.

Kesimpulan: Pilih Sesuai Siapa Penggunanya

SSO paling sesuai untuk kebutuhan di dalam satu organisasi, sedangkan FIM dibutuhkan ketika identitas harus dikenali lintas organisasi. Pertanyaan yang paling menentukan adalah siapa penggunanya dan di mana data yang mereka akses disimpan.

Apa pun pilihannya, MFA, standar protokol yang tepat, dan penonaktifan akses yang rapi tetap menjadi fondasi. Pendekatan yang baik di atas kertas akan sia-sia jika pengelolaan hariannya diabaikan.

FAQ