Sub-capability · cap-pam
特权访问管理
Privileged Access Management
能力说明
保管、轮换和审计特权凭据，代理并录制特权会话，按最小权限与审批控制高权限操作。PAM 与员工 SSO/IGA 的服务对象和控制点不同，SSO 不等于 PAM。
定义是 OmySec 的编辑性描述，用于建立可比较的边界，不代表标准组织或厂商的官方定义。不同厂商对同一术语的实现范围可能差异很大，具体能力以产品页的来源与条件为准。
包含范围
- 特权凭据保管/轮换
- 特权会话代理/录制
- 最小权限与审批
排除与边界
- 普通 SSO
- 员工 IGA
- CIAM
相关词（非严格同义）：特权会话管理 · 堡垒机 · 最小权限
定义参考
以下是编辑描述的参考依据，与下方产品声明证据分别记录；引用不表示官方认证或标准定义逐字等价。
- Security and Privacy Controls for Information Systems and Organizations (Revision 5, 2020-12 updates) SP 800-53 Rev.5, updates 2020-12-10 · AC-6 最小权限；AC-6(5) Privileged Accounts；IA-5 认证器管理 · 核对 2026-10-18
- ENISA Cybersecurity Market Analysis Framework (ECSMAF) v3.0 ECSMAF v3.0, printed pp. 77-79 · 印刷页 77-79（PDF 页索引同数字）：PAM 类别存在依据；详细边界为 OmySec 编辑归纳 · 核对 2026-10-18
- Zero Trust Maturity Model Version 2.0 ZTMM v2.0 · Identity 支柱的最小权限与持续验证 · 核对 2026-10-18
分类版本 0.3-draft · 稳定节点，定义随证据修订。