Vztahuje se nejen na administrátorské účty, ale také na servisní účty, tajné údaje aplikací, automatizaci, pohotovostní přístup a jiné identity se zvýšenou schopností.
PAM usiluje o nahrazení permanentního, špatně připisovatelného oprávnění kontrolovaným přístupem pro konkrétní identitu, účel a dobu. Podle prostředí může zahrnovat trezoring přihlašovacích údajů, schvalovací workflow, elevaci just-in-time, zprostředkování či záznam relací, omezení příkazů a rotaci tajné údaje.
Praktická posloupnost hraje větší roli než seznam produktů: nejprve objevte každý privilegovaný účet a tajné údaje — trvalá admin práva, hardkódované přihlašovací údaje, zapomenuté servisní účty — poté je trezorte či federujte, poté přidejte workflow elevace a kontroly relací. Samotný trezoring mění málo, pokud pod ním zůstávají stejná trvalá oprávnění a sdílené účty v každodenním používání.
Klíčové body
Primární účelSnížit pravděpodobnost a dopad zneužití či kompromitace mocného přístupu.
Dobrý návrhPojmenované identity, nejmenší oprávnění, krátko žijící elevace, silná autentizace, oddělené povinnosti a monitorované pohotovostní postupy.
Strojový přístup hraje roliTajemství používaná softwarem a automatizací mohou být stejně mocná jako přihlašovací údaje lidského administrátora.
Důležité omezeníSamotný trezor hesel není kompletní program PAM a PAM nečiní kompromitovanou privilegovanou relaci neškodnou.