PAM专家系列 | 如何通过与其他方案的集成，提高PAM计划的成功率

PAM操作并不是一个孤立的个体，只有通过与其他IT和安全解决方案的紧密集成，才能将PAM的作用发挥到最大，同时保持最新信息的同步，更快生成报告，从而更快速地做出决策。以下是部分第三方工具的集成示例：

改善特权访问管理全生命周期的治理

PAM + IAM/IGA

首先，我们需要厘清PAM跟IAM的区别。PAM主要负责保护对关键系统和管理员账号的访问，而身份和访问管理 (IAM) 则是对公司每个用户的账号进行管理的一个工具。两者管理的对象和内容是不一样的。将PAM跟IAM集成起来，可以帮助企业跟踪用户账号所有权、标记未使用的用户账号、自动配置新用户账号、简化特权账号的分配，并可以定期更改访问权限。简而言之，这种集成方案可以使企业以最小的代价有效地满足合规性和监管报告的要求。

此外，在一些IAM解决方案中，还提供身份治理和管理 (IGA)，它提供合规计划所需的监控和报告功能。通过PAM与IGA方案的集成，可以更好地管理职责分离、访问请求处理和访问重新认证（在整个生命周期中持续或基于触发器的重新认证，而不需要手动定期审查）。当使用诸如SailPoint IdentityIQ等IGA解决方案来调整权限时，与PAM集成的IGA工作流可以自动完成更改，同时将新角色同步到PAM解决方案中。

通过受控身份验证节省时间

PAM + 活动目录

特权用户账号通常位于在Active Directory (Windows) 中运行的中央身份验证系统或另一个管理员工账号、组和权限的中央身份和身份验证系统中。在这些系统中更改密码是一件比较麻烦的事情，因为当需要在多个系统保持密码同步时，很可能会出错。而对于企业来讲，账号管理流程（从创建到轮换和取消配置）在每个步骤中都需要保持协调一致，因此这是一项比较费时的事情。

通过PAM与活动目录的集成，可以利用Active Directory 作为跨 Windows、Linux和 Unix 系统的PAM和 MFA 策略的中央策略引擎。高级集成（例如AD桥接）还可以通过将 Active Directory 的许多功能扩展到非 Windows 平台（例如基于 Kerberos 的单点登录、组策略和对 Linux 登录的智能卡支持）来进一步简化身份验证，提高效率。

PAM + 连接管理

企业往往需要建立由保管库启动的远程桌面连接（例如直接登录系统和工作负载以及提升权限）时使用的特权凭据，来对关键基础架构、数据和应用程序进行访问。配置远程会话时，由于网络、云服务和用户需求的复杂性，IT团队通常需要使用不同的连接协议和各种特权账号同时激活多个会话。

通过PAM与连接管理的集成，为企业提供了一个统一的环境来管理远程桌面协议 (RDP) 和安全外壳 (SSH) 的多个远程会话，并可与之交互。管理员可以使用多种协议启动远程连接、进行身份验证并获得对具有适当权限的关键资源的访问权限。IT 团队因此可以节省大量时间，同时也将大大降低安全风险。

此外，管理员还可以监控和记录多个同时进行的远程会话，从而提高事后追责及审计跟踪的能力，使远程连接更好地满足合规性要求。

提高安全性和 IT Ops 之间的可见性和工作流程

PAM + IT 服务管理

企业为了支持各类工作流和IT流程会实施众多服务管理系统。如果将PAM计划与IT运营赖以完成工作的系统集成起来，实现信息共享，那么PAM计划的实施可以更快、更完整，并且随着时间的推移将更具可持续性。

例如，资产管理系统跟踪整个公司中使用的批准工作站和应用程序。当您部署最小权限和应用程序控制策略时，通过连接这些系统可以改善发现过程并确保信息同步。通过与IT 用于配置和部署新设备的解决方案集成，您可以为新工作站快速设置最小权限策略。此外，您可以将应用程序控制与 IT 运营使用的helpdesk系统集成，以解决用户对应用程序和支持的请求。

应用程序提升请求可以直接在系统中进行管理，因此可以进行持续的通信和事件跟踪。最后，与 ServiceNow 和其他 IT运营管理 (ITOM) 工具的集成避免了配置硬编码的账号密码，从而允许 ITOM 应用程序以编程方式从作为外部凭据提供程序的保险库获取凭据。

更快速、更准确地识别设计缺陷

PAM + 漏洞扫描

PAM与漏洞测试和管理解决方案的集成提供了扫描系统以查找缺失补丁并确保正确安装补丁的凭据。这种深度凭证扫描允许进行比单独渗透测试更彻底的漏洞评估。

自动将已知恶意软件添加到应用程序控制策略

PAM + 威胁分析

将PAM解决方案与威胁分析集成可以帮助企业在网络犯罪分子开发新的恶意软件和高级攻击策略时跟上他们的步伐。您可以在PAM解决方案中构建威胁情报数据库，例如VirusTotal表单拒绝列表，以阻止已知的恶意应用程序运行。

记录事件、汇总网络安全数据并触发警报

PAM + SIEM

许多IT和安全团队依靠安全信息和事件管理 (SIEM) 和日志管理解决方案（例如ArcSight、Splunk 和LogLogic）来进行集中报告和协调事件响应。作为基于风险的方法的一部分，使用这些解决方案对各种事件进行分类和评分，可以确定业务和技术风险的优先级。

即使是最成熟的PAM部署也在不断改进的过程中。随着公司的发展，业务和技术的要求也会随之发生变化。例如，新的开发流程或云优先策略可能会产生需要保护的新型特权账号。或者，企业可能收购或与另一家公司合并，需要快速、安全地集成新的人员和系统。因此，PAM专家需要做好随时适应新情况的策略准备。选择可不断适应新情况的可扩展解决方案可以帮助您事半功倍。