# Privileged Access Management 特权访问管理

## 简介Privileged Access Management (特权访问管理)

**挑战一：难以定位操作人**。比如根用户有特权，能够在AWS执行任何操作。所有IT管理员知道根用户的邮箱和密码，共享根用户的权限，这会导致很难知道谁删除了关键的文件或者关键的数据库。因此，每个IT管理员都成为了怀疑对象。

**挑战二：特权泛滥。**&#x5728;某些情况下，组织可能会选择给予多人特权，以确保业务连续性和高效的任务执行。这通常发生在需要快速响应的高压环境中，例如紧急修复、关键系统的维护或在特定项目中需要临时提升权限以便完成任务。然而，这种做法会增加风险，因为它扩大了潜在的攻击面，并使得特权管理更加复杂。

**挑战三：审计困难。**&#x7279;权用户的操作往往涉及核心系统和敏感数据，并且可以清除自己一些违规操作的痕迹，这将导致审计变得困难，难以收集到证据和触发安全告警。

## 特权访问管理的最佳实践

要在AWS上有效实现特权访问管理 (PAM)，建议遵循以下最佳实践：

1. **使用IAM角色和策略**：通过细粒度的IAM（身份和访问管理）策略，精确控制用户和服务的权限，以及它们可以执行的操作。避免使用根账号进行日常任务。
2. **最小权限原则**：仅授予必需的最低权限，以降低风险和潜在的损害。
3. **多因素认证（MFA）**：对所有用户（尤其是拥有高级权限的用户）启用MFA，增加账户安全性。
4. **集中身份管理**：使用AWS SSO（单点登录）或集成第三方身份提供者，以集中管理用户身份和访问。
5. **审计和监控**：利用AWS CloudTrail等服务记录和监控所有API活动，以便审计和实时分析潜在的安全威胁。

通过严格遵循这些最佳实践，可确保在AWS环境中实现高效且安全的特权访问管理。

## 临时提权系统

当遇到比如紧急维护时需要提升特权以便完成任务的场景时，需要通过一个临时提升权限的系统来满足此类需求。临时提权系统可以给某个人授予短期有效的特权，并且实时审计和监控特权访问者的行为，一旦出现异常可以立即收回权限。

Temporary elevated access management (TEAM)，该解决方案是一个自定义应用程序，允许用户仅在需要时请求访问 AWS 账户，且仅在特定时间段内访问。审批人员可以在决定是否授予访问权限之前对请求进行审查。一旦过了期限，提升的访问权限就会自动移除。\
\
blog post: <https://aws.amazon.com/blogs/security/temporary-elevated-access-management-with-iam-identity-center/>\
document/其他第三方的解决方案: <https://docs.aws.amazon.com/singlesignon/latest/userguide/temporary-elevated-access.html>\
项目介绍：[About | TEAM (aws-samples.github.io)](https://aws-samples.github.io/iam-identity-center-team/)<br>
