越來越想不到寫啥了 XDD
每天在想要寫什麼，甚至都比寫的時間久

大家常聽到「帳號權限要設定好」，但「特權帳號」其實是另一回事：它能新增使用者、修改設定、存取敏感資料，甚至停擺整個服務。一旦外洩或被誤用，就可能引發全公司級災難。而且現在客戶稽核越來越嚴格，不只問「有沒有政策」，更要你拿出實質證據來證明一切都在掌控中。

駭客真正想要的不是進門，而是「鑰匙圈」。
一把特權帳號，等於掌握整家公司。

什麼叫「特權帳號」？

把帳號想像成門禁卡：有些只能進大門，有些能開保險箱。後者就是特權帳號。它們擁有高權限，能執行關鍵操作。常見類型包括：

• 人員特權：如 Domain Admin、本機系統管理員、資料庫管理員（DBA）、雲端租戶或訂閱層管理員（例如 Owner 或 Global Admin）。
• 服務／應用帳號：用於排程任務或系統整合的非互動帳號（常被忽略，密碼不易輪替）。
• 緊急帳號（Break-glass）：在 SSO 或 MFA 失效時的備用帳號（平時封存、需雙人授權開啟，並立即觸發告警）。
• 外包／臨時帳號：供應商維護或短期專案使用（必須設定時效與權限範圍）。

特權帳號危險嗎?

特權帳號是資安弱點的放大鏡，不僅是外部攻擊的目標，人為錯誤也可能釀成大禍。幾個關鍵理由：

• 攻擊鏈的終點是升權：滲透只是開胃菜，拿到特權才是主菜。之後能橫向移動、批量竄改、外洩機密，甚至勒索。
• 人為誤用也很可怕：例如長期保留高權、多人共用同一帳號，或臨時開啟後忘記關閉——就算不是駭客，也能造成意外。
• 供應鏈壓力：客戶與上游會要求證明：誰、何時、因何事使用了高權、做了什麼，以及誰核准？這已成為合約常見條款。

這裡就是 PAM 登場的地方（Privileged Access Management）

PAM 就是把鑰匙鎖進保險箱，借鑰匙要走流程，連線走專屬通道，且全程錄影。
它把「政策」變成「可證明、可回放、可稽核」的流程與技術控制。

1. 密鑰保管與自動輪替（Vault & Rotation）
   把 Domain Admin、DBA、設備管理介面、服務帳號等高權密碼／金鑰放進金庫，設定定期自動換密碼與借出即換，杜絕共用密碼與長期不換。
2. 即時、剛好夠用的權限（JIT／JEA）
   平時不給高權，臨時升權必須填寫事由＋時間盒（time-bound），過期自動收回；可以限制到指令層級／作業範圍。
3. 會話代理與側錄（Session Proxy & Recording）
   RDP／SSH／SQL／Web 管理面板必須經 PAM 閘道，可控剪貼簿／檔案傳輸／命令白黑名單，並錄影或記錄命令，事後可回放。
4. 盤點與治理（Discovery & Governance）
   自動掃描找出「遺失在角落」的特權與服務帳號，定期輸出輪替合規率、使用軌跡、審批紀錄、外包時段存取等報表，直接回答稽核題。

沒人能「直接」拿鑰匙，也不能「直接」開門；一切都要過金庫、過流程、走指定通道，而且留證據。