Menerapkan dan memantau persyaratan sandi untuk pengguna

Halaman ini ditujukan bagi administrator yang mengelola akun untuk pengguna lain di organisasi. Untuk mereset sandi akun Anda, buka di sini.

Sebagai admin, Anda dapat menerapkan persyaratan sandi untuk melindungi Akun Google terkelola milik pengguna Anda dan memenuhi kebutuhan kepatuhan organisasi Anda. Anda juga dapat melihat sandi pengguna Anda yang lemah dengan memantau kekuatan sandi mereka.

Jika Anda menggunakan SSO…

Jika Anda menggunakan single sign-on (SSO) untuk pengguna Anda, Anda harus:

  1. Menonaktifkan penerapan sandi.
  2. Memastikan akun pengguna tidak dikonfigurasi untuk mewajibkan perubahan sandi pada saat pengguna login berikutnya.

Ada masalah umum yang menyebabkan kebijakan sandi diterapkan untuk pengguna yang melakukan autentikasi dengan penyedia identitas (IdP) pihak ketiga dan profil SSO. Nonaktifkan penerapan sandi untuk menghindari masalah ini. Jika pengguna Anda menerima permintaan satu kali untuk mereset sandi Google mereka, hal ini tidak akan memengaruhi penggunaan SSO oleh mereka, cara mereka login, atau sandi yang digunakan dengan SSO.

Membantu menjaga keamanan akun pengguna

  • Wajibkan sandi kuat—Anda dapat memaksa pengguna mengganti sandi lemah. Anda juga dapat mewajibkan penggunaan sandi berdasarkan jumlah karakter.
  • Cegah pengguna menggunakan lagi sandi lama.
  • Jelaskan pentingnya sandi kuat—Untuk membantu pengguna membuat sandi kuat, bagikan tips pembuatan sandi berikut.

Sebelum Anda memulai

Kapan kebijakan sandi tidak berlaku

  • Google tidak dapat menerapkan persyaratan kekuatan dan panjang sandi pada sandi yang disetel menggunakan metode hash. Misalnya, sandi yang dibuat menggunakan alat upload pengguna massal, Directory API, atau alat sinkronisasi seperti Password Sync atau Google Cloud Directory Sync. Untuk mengetahui detailnya, buka Google Workspace Admin SDK atau lihat artikel Tentang Password Sync.
  • Persyaratan kekuatan dan panjang sandi tidak berlaku untuk sandi pengguna yang Anda reset secara manual. Jika Anda mereset sandi secara manual, centang kotak Minta pengguna mengubah sandinya saat dia login untuk pengguna tersebut.
  • Kebijakan sandi yang Anda konfigurasi tidak berlaku saat pengguna melakukan autentikasi melalui IdP pihak ketiga menggunakan OIDC.

Catatan: Kebijakan sandi saat ini diterapkan jika Anda menggunakan IdP SAML. Untuk mengetahui detailnya, lihat bagian Jika Anda menggunakan SSO (di awal halaman ini).

Kriteria sandi kuat

Jika Anda menerapkan sandi kuat, Google menggunakan algoritma rating menurut kekuatan sandi untuk memastikan bahwa sandi:

  • Memiliki tingkat keacakan tinggi, atau disebut entropi sandi, yang dapat Anda capai menggunakan string panjang berisi berbagai jenis karakter, seperti huruf besar, huruf kecil, angka, dan karakter khusus

    Catatan: Sandi kuat tidak perlu memiliki jumlah karakter jenis tertentu secara spesifik.

  • Bukan sandi lemah yang umum digunakan, seperti "123456" atau "sandi123"
  • Tidak mudah ditebak, seperti kata atau frasa sederhana, atau pola sandi yang dibuat sama dengan nama pengguna
  • Belum disusupi (tidak berada dalam database akun yang dibobol)

Cara kerja akhir masa berlaku sandi

Akhir masa berlaku sandi dinonaktifkan secara default karena riset menunjukkan dampak positifnya terhadap keamanan tidak signifikan. Anda dapat menetapkan akhir masa berlaku sandi pengguna setelah beberapa hari (seperti 90 atau 180 hari) jika diperlukan untuk alasan kepatuhan.

Akhir masa berlaku sandi hanya diterapkan untuk login aplikasi berbasis browser. Kebijakan ini tidak diterapkan untuk pengguna yang hanya menggunakan ponsel atau login menggunakan aplikasi yang diautentikasi dengan OAuth.

Notifikasi sandi

Jika Anda menetapkan akhir masa berlaku sandi, pengguna akan menerima notifikasi pop-up (tetapi bukan email pengingat) di layanan Google mereka, seperti Gmail dan Kalender, 30 hari sebelum tanggal habis masa berlaku sandi. Pengguna dapat mengubah sandi mereka atau menutup notifikasi. Jika pengguna tidak mengubah sandinya, notifikasi akan muncul pada saat pengguna login kembali ke akunnya. Notifikasi tidak akan muncul lagi setelah pengguna menutupnya tiga kali. Namun, setelah akhir masa berlaku sandi, pengguna harus mengubah sandinya pada saat login kembali.

Kapan pengguna perlu mengubah sandi mereka

Saat Anda pertama kali menyiapkan kebijakan akhir masa berlaku sandi, beberapa pengguna mungkin diminta langsung mengubah sandi mereka, sementara pengguna lain tidak perlu langsung mengubah sandi mereka. Contoh:

  • Jika Anda menyiapkan kebijakan akhir masa berlaku selama 90 hari, dan pengguna terakhir kali mengubah sandinya 100 hari yang lalu, masa berlaku sandi pengguna tersebut akan langsung berakhir setelah Anda menyiapkan kebijakan. Pengguna akan diminta mengubah sandinya pada saat dia mencoba login kembali ke akunnya.
  • Jika Anda menyiapkan kebijakan akhir masa berlaku selama 90 hari, dan pengguna terakhir kali mengubah sandinya 30 hari yang lalu, masa berlaku sandi pengguna tersebut belum berakhir. Setelah 60 hari, pengguna akan diminta mengubah sandinya pada saat dia mencoba login kembali.

Menetapkan persyaratan sandi

Sebelum Anda memulai: Tinjau informasi di bagian Jika Anda menggunakan SSO (di awal halaman ini).

  1. Di konsol Google Admin, buka Menu lalu Keamanan lalu Autentikasi lalu Pengelolaan sandi.

    Hak istimewa administrator Setelan keamanan diperlukan.

  2. Di sebelah kiri, pilih unit organisasi tempat Anda ingin menetapkan kebijakan sandi.

    Untuk semua pengguna, pilih unit organisasi tingkat teratas. Atau, pilih organisasi lainnya untuk membuat setelan bagi penggunanya. Awalnya, organisasi mewarisi setelan organisasi induknya.

  3. Di bagian Kekuatan, centang kotak Terapkan sandi kuat.

    Pelajari lebih lanjut sandi kuat.

  4. Di bagian Panjang, masukkan panjang minimum dan maksimum sandi pengguna Anda. Panjang sandi bisa berisi antara 8 dan 100 karakter.

  5. (Opsional) Untuk memaksa pengguna mengubah sandi mereka, centang kotak Terapkan kebijakan sandi saat login berikutnya.

    Jika Anda tidak mencentang opsi ini, pengguna dengan sandi lemah dapat mengakses layanan Google organisasi Anda hingga mereka mengubah sandi mereka.

  6. (Opsional) Untuk mengizinkan pengguna menggunakan kembali sandi lama, centang kotak Izinkan penggunaan ulang sandi.

    Anda tidak dapat menetapkan histori sandi yang ditinjau Google untuk mencegah penggunaan ulang sandi.

  7. Di bagian Akhir masa berlaku, pilih jangka waktu berlakunya sandi.

    Catatan: Pengguna yang didelegasikan yang ditambahkan ke sebuah akun pengguna akan tetap dapat mengakses akun itu, meskipun masa berlaku sandi akun tersebut telah berakhir. Untuk mencegah akses berkelanjutan, reset sandi akun atau hapus pengguna yang didelegasikan.

  8. Klik Ganti untuk mempertahankan setelan agar tidak berubah, meskipun setelan induknya berubah.

  9. Jika status unit organisasi telah Diganti, pilih salah satu opsi berikut:

    • Warisi—Mengembalikan ke setelan yang sama dengan induknya
    • Simpan—Menyimpan setelan baru Anda (meskipun setelan induk berubah)

  10. Berikan tips kepada pengguna Anda untuk membuat sandi kuat.

Memantau kekuatan sandi pengguna Anda

  1. Di konsol Google Admin, buka Menu lalu Pelaporan lalu Laporan Pengguna lalu Akun.

    Buka Akun

    Hak istimewa administrator Laporan diperlukan.

  2. (Opsional) Untuk melihat informasi kekuatan sandi dalam bentuk grafik, buka Laporan lalu Laporan Aplikasi lalu Akun. Pelajari lebih lanjut Laporan akun.