← 返回首页
R1 · 受控语言（ASD-STE100 ≈80%）

PAM 特权访问管理 · 55 句

每句只表达一个事实 · 每句 ≤ 30 字 · 保留全部数字与因果 · 全梯事实基准

读法：编号 S1–S55 是交叉坐标。R2 图、R3 交互页、R4 视频里任何一个说法出问题，都以这里为准。

1 · 一句话定义

  1. S1PAM 的全称是 Privileged Access Management。
  2. S2中文译名是特权访问管理。
  3. S3它专门管一类特殊账号：特权账号。
  4. S4特权账号指权限远超普通用户的账号。
  5. S5典型例子是 Linux 的 root 和 Windows 的 Administrator。
  6. S6PAM 做三件事：收拢这些账号，看管这些账号，审查这些账号。

2 · 特权账号藏在哪里

  1. S7服务器上有 root 和 Administrator 这类管理员账号。
  2. S8数据库里有 sa、sys 这类管理员账号。
  3. S9网络设备上有特权模式密码。
  4. S10云平台上有控制台管理员账号。
  5. S11系统之间还藏着服务账号（service account）。
  6. S12服务账号是程序连接程序用的账号，不给自然人登录。
  7. S13还有一类应急账号，英文叫 break-glass account。
  8. S14应急账号平时封存，只在紧急故障时启用。

3 · 没有它，会发生什么

  1. S15这些账号的密码经常散落在各处。
  2. S16常见的散落地点：表格文件、聊天记录、脚本代码、配置文件。
  3. S17多人共用同一个管理员密码，是常见做法。
  4. S18员工离职后，共用密码常常没人改。
  5. S19管理员做过什么操作，常常没有记录。
  6. S20攻击者拿到一个特权密码，就能横向移动（lateral movement）。
  7. S21横向移动指攻击者从一台机器跳到另一台机器。
  8. S22行业报告把凭据滥用列为最常见的初始入侵途径。
  9. S23凭据滥用涉及 22% 的数据泄露事件（DBIR 2025）。
  10. S24这类手法对应 MITRE ATT&CK 的 T1078（Valid Accounts）。
  11. S25最小权限原则来自 NIST SP 800-53 的 AC-6 控制项。

4 · PAM 的六项核心能力

  1. S26能力一：发现（Discovery）。
  2. S27发现指自动扫描全网，找出全部特权账号。
  3. S28能力二：保管库（Vault）。
  4. S29保管库指专门存放特权凭据的加密数据库。
  5. S30密码进了保管库，人看不到原文。
  6. S31能力三：代理访问（Brokered Access）。
  7. S32代理访问指用户申请后，由 PAM 代为注入密码。
  8. S33用户全程接触不到密码原文。
  9. S34能力四：自动轮换（Rotation）。
  10. S35轮换指会话结束后自动改掉旧密码。
  11. S36旧密码作废，泄露的密码跟着失效。
  12. S37能力五：会话录制（Session Recording）。
  13. S38录制指记录特权会话里的每一步操作。
  14. S39能力六：即时访问（JIT，Just-In-Time）。
  15. S40JIT 指特权只在需要的时间段内生效。
  16. S41时间一到，权限自动收回。
  17. S42行业把极致形态叫零常驻特权（Zero Standing Privileges）。

5 · 一次完整的取用（五步）

  1. S43第一步：运维工程师提出访问申请。
  2. S44第二步：策略引擎检查权限，必要时要求审批。
  3. S45第三步：保管库放行凭据，代为建立会话。
  4. S46第四步：PAM 录制全程，写入审计日志。
  5. S47第五步：会话结束，密码自动轮换。

6 · 相邻概念，划清边界

  1. S48IAM 管的是：你是谁，一般权限给你什么。
  2. S49PAM 管的是：特权怎么发，怎么收，怎么查。
  3. S50堡垒机是 PAM 的前身之一。
  4. S51堡垒机提供集中登录通道和会话审计。
  5. S52现代 PAM 在此之上叠加保管库、轮换和 JIT。
  6. S53国内常见的开源堡垒机是 JumpServer。

7 · 收束

  1. S54业界把特权凭据比作"王国的钥匙"（keys to the kingdom）。
  2. S55PAM 的主线：把钥匙锁进保险柜，用时才借，用完即换，全程录像。

术语表（首现定义）

术语定义位置
特权账号S4
服务账号 service accountS12
应急账号 break-glass accountS13–S14
横向移动 lateral movementS21
发现 Discovery / 保管库 Vault / 代理访问 / 轮换 / 会话录制S26–S38
JIT（Just-In-Time）/ 零常驻特权S39–S42
堡垒机S50–S51