Se aplică nu doar conturilor de administrator, ci și conturilor de serviciu, secretelor de aplicații, automatizării, accesului de urgență și altor identități cu capabilitate ridicată.
PAM urmărește să înlocuiască privilegiul permanent, prost atribuibil, cu acces controlat pentru o identitate, un scop și un timp specific. În funcție de mediu, poate include depozitarea credențialelor în seif, fluxuri de aprobare, elevare just-in-time, brokering sau înregistrare de sesiuni, restricții de comenzi și rotirea secretelor.
Secvența practică contează mai mult decât lista de produse: mai întâi descoperiți fiecare cont și secret privilegiat — drepturi de administrator permanente, credențiale codate direct, conturi de serviciu uitate — apoi depozitați-le în seif sau federați-le, apoi adăugați fluxuri de elevare și controale de sesiune. Doar seiful schimbă puțin dacă aceleași privilegii permanente și conturi partajate rămân în utilizare zilnică sub el.
Puncte esențiale
Scop principalReducerea probabilității și impactului abuzului sau compromiterii accesului puternic.
Design bunIdentități numite, privilegii minime, elevare de scurtă durată, autentificare puternică, atribuții separate și proceduri de urgență monitorizate.
Accesul de mașină conteazăSecretele folosite de software și automatizare pot fi la fel de puternice ca credențialele de administrator uman.
Limitare importantăDoar un seif de parole nu este un program PAM complet, iar PAM nu face o sesiune privilegiată compromisă inofensivă.