Dotyczy nie tylko kont administratorów, ale także kont serwisowych, sekretów aplikacji, automatyzacji, dostępu awaryjnego i innych tożsamości o podwyższonych możliwościach.
PAM ma zastąpić stałe, słabo przypisywalne uprawnienia kontrolowanym dostępem dla konkretnej tożsamości, celu i czasu. Zależnie od środowiska może obejmować przechowywanie poświadczeń w sejfie (vaulting), przepływy zatwierdzania, elewację just-in-time, brokering lub nagrywanie sesji, ograniczenia poleceń i rotację sekretów.
Praktyczna kolejność jest ważniejsza niż lista produktów: najpierw odkryj każde uprzywilejowane konto i sekret — stałe prawa administracyjne, zaszyte w kodzie poświadczenia, zapomniane konta serwisowe — potem umieść je w sejfie lub sfederuj, a następnie dodaj przepływy elewacji i kontrole sesji. Sam sejf niewiele zmienia, jeśli te same stałe uprawnienia i współdzielone konta pozostają w codziennym użyciu pod spodem.
Najważniejsze punkty
Główny celRedukcja prawdopodobieństwa i skutków nadużycia lub kompromitacji dostępu o dużej sile.
Dobry projektNazwane tożsamości, minimalne uprawnienia, krótkotrwała elewacja, silne uwierzytelnianie, podzielone obowiązki i monitorowane procedury awaryjne.
Dostęp maszynowy ma znaczenieSekrety używane przez oprogramowanie i automatyzację mogą być równie potężne jak poświadczenia ludzkich administratorów.
Istotne ograniczenieSam sejf haseł nie jest kompletnym programem PAM, a PAM nie czyni skompromitowanej sesji uprzywilejowanej nieszkodliwą.