PAM : Privileged Access Management
Sécurité
PAM : Privileged Access Management. « Gestion des accès à privilèges », par analogie avec le trousseau des clés sensibles rangé dans un coffre au poste de garde, prêté contre signature et rendu à heure fixe.
Périmètre : Le PAM encadre les comptes qui peuvent tout casser : administrateurs de domaine, comptes root, comptes de service, consoles cloud. Il met leurs secrets en coffre, en assure la rotation et ne les délivre qu'à la demande.
Bastion et traçabilité : Les sessions d'administration passent souvent par un bastion qui enregistre les connexions SSH ou de bureau à distance, voire les rejoue en vidéo. L'administrateur y gagne un témoin permanent, ce qui a toujours rendu les gens plus soigneux.
Juste-à-temps : La version moderne remplace les privilèges permanents par des élévations JIT, limitées dans le temps et approuvées. Un droit qui n'existe pas au moment de l'attaque ne se vole pas.
Homonyme : Sous Linux, PAM désigne aussi les Pluggable Authentication Modules, la mécanique modulaire d'authentification du système. Même sigle, autre sujet ; le contexte tranche.
Ce qui arrive si on s'en passe
Sans gestion des accès à privilèges, les mots de passe d'administration vivent dans des fichiers, des scripts ou des mémoires humaines, rarement changés et souvent partagés. Un attaquant qui compromet un poste d'administrateur ou récupère un de ces secrets obtient d'emblée le contrôle d'annuaires, de serveurs ou de consoles cloud, sans limite de durée. L'absence d'enregistrement des sessions empêche ensuite de reconstituer ce qui a été modifié. Le coffre, la rotation automatique, l'élévation temporaire et la traçabilité réduisent la valeur d'un secret volé et rendent chaque action privilégiée attribuable à une personne identifiée.
Explication de la marmotte
Dans une entreprise, quelques comptes informatiques ont le pouvoir de tout modifier, un peu comme le passe-partout du gardien d'un immeuble. Si ce passe-partout traîne dans une poche, n'importe qui pourrait l'emprunter. Ce type d'outil range ces clés très puissantes dans un coffre. Pour s'en servir, il faut prouver son identité, expliquer pourquoi, et on ne les obtient que pour un temps limité. Tout ce qui est fait avec est noté, afin de savoir ensuite qui a fait quoi.
Où ce terme est utilisé
- Vault PAM et enregistrement des sessions admin (17 occurrences)
- PAM, JIT et comptes break-glass sécurisés (13 occurrences)
- VPN, tunnels, bastions et interconnexions protégées (4 occurrences)
- RDP exposé sur Internet : risques, durcissement et détection (3 occurrences)
- Pourquoi la cyber-hygiène individualise la responsabilité (2 occurrences)
- Pourquoi le moindre privilège échoue en production (2 occurrences)
- Durcir un serveur Linux avant la mise en production, checklist (1 occurrence)
- Le Kerberoasting en une page (1 occurrence)
- Linux shell, permissions et processus, le modèle de contrôle d'accès (1 occurrence)
- Protocole SSH, clés d'hôte, authentification et durcissement (1 occurrence)