IAM и PAM: в чём разница

IAM (Identity and Access Management) — управление идентичностью и доступом всех пользователей организации: сотрудников, подрядчиков, приложений.

PAM (Privileged Access Management) — управление привилегированным доступом: узкой категорией учётных записей с расширенными полномочиями.

Это не конкурирующие подходы. PAM — специализированная надстройка над теми же принципами, применённая к самым опасным учётным записям.

Почему привилегированные записи выделяют отдельно

Обычная учётная запись при компрометации даёт злоумышленнику доступ к данным одного сотрудника.

Учётная запись администратора при компрометации даёт возможность изменить настройки безопасности, создать новых пользователей, отключить журналирование и закрепиться в системе надолго.

Разница в последствиях настолько велика, что оправдывает отдельный набор мер — более строгих, чем разумно применять ко всем.

Что входит в IAM

Аутентификация — установление личности: пароли, второй фактор, passkeys.

Единый вход — одна точка входа для всех приложений.

Управление правами — роли, группы, политики доступа.

Жизненный цикл — создание, изменение и отключение учётных записей.

Журналирование — фиксация входов и изменений.

IAM охватывает всех: от нового стажёра до генерального директора.

Что добавляет PAM

Доступ по требованию. Административные права выдаются не постоянно, а на время выполнения конкретной задачи и автоматически снимаются после.

Запись сессий. Действия в критичных системах фиксируются подробно — вплоть до выполненных команд.

Хранилище учётных данных. Пароли служебных учётных записей хранятся централизованно, автоматически меняются и не передаются людям напрямую.

Повышение прав по правилам. Сотрудник работает с обычными правами и повышает их только для конкретной операции, с обоснованием.

Разделение обязанностей. Критичные действия требуют участия двух человек.

Сравнение

Критерий	IAM	PAM
Кого охватывает	Всех пользователей	Администраторов, служебные учётные записи
Основная задача	Правильный доступ у каждого	Контроль опасных полномочий
Права	Постоянные, по роли	Временные, по требованию
Журналирование	Факт входа и изменения прав	Подробная запись действий
Когда внедряют	В первую очередь	Когда критичные системы уже есть

Когда достаточно IAM

Для большинства организаций правильно выстроенный IAM закрывает основную часть риска, и внедрение отдельной системы PAM преждевременно.

Признаки, что пора задуматься о PAM:

• администраторов достаточно много, чтобы не помнить их поимённо;
• есть системы, доступ к которым означает возможность остановить работу компании;
• регулятор требует записи действий привилегированных пользователей;
• служебные учётные записи с паролями лежат в конфигурационных файлах.

Если этих признаков нет, разумнее сначала довести до конца базовые вещи: ролевую модель, обязательный второй фактор для администраторов, регулярный пересмотр прав и работающий отзыв доступа.

Что можно сделать средствами IAM уже сейчас

Часть принципов PAM реализуется без отдельной системы:

Отделите административные права от обычных. Возможность менять настройки безопасности не должна попадать в массово выдаваемую роль.

Требуйте второй фактор для администраторов — и предпочтительно устойчивый к фишингу.

Сократите время жизни сессий для привилегированных пользователей.

Обеспечьте немедленный отзыв. Возможность завершить активную сессию администратора — минимальное средство реагирования на инцидент.

Журналируйте действия с правами. Кто, когда и кому изменил роль — эти записи нужны при разборе.

Как это устроено в Keydee

Keydee решает задачи IAM: аутентификацию, единый вход, роли и управление сессиями. Часть перечисленных выше мер доступна напрямую:

• Системная роль отделена от пользовательских — административные возможности не смешиваются с обычными.
• Требование MFA задаётся политикой компании и может быть обязательным для всех её пользователей.
• Активные сессии видны и завершаются — доступ прекращается сразу, включая выданные приложениям разрешения.
• Журнал фиксирует входы и изменения прав с реальным IP-адресом.

Специализированные функции PAM — запись сессий, хранилище служебных паролей, выдача прав по требованию — относятся к отдельному классу решений и внедряются, когда для них появляется обоснованная потребность.