PAM 管的是哪种风险？
特权访问管理关注高影响权限的授予、使用、保护和回收。本页选择按需激活这一条线：平时不常驻高权限，需要时再按政策取得限定范围与时间的能力。[1]
052 / 身份与访问 / PAM
批准借钥匙，钥匙就一直有效？
PAM 特权访问管理 · PAM
测试服务 A 需要重启。值班员有申请资格，审批也通过了，却还不能跳过激活和额外验证。等钟走到边界，再看看旧许可是否仍能操作另一台服务。
开始探索 ↓9–12 分钟
动手实验 · 场景判断 · 实用检查
动手实验 · 场景判断 · 实用检查
审批台递出带钟表的钥匙，维修者用它操作服务器，右侧又把钥匙交向机关，暗处还有兜帽人物。钟表与交还动作比喻限时使用和回收；画面不能证明真实会话已经终止，也没有展示完整审计记录。
本课任务 / PAM 特权访问管理
拆开申请资格、一次性批准、限时激活和审计证据，逐步验证特权的范围与失效。
- 区别 eligible、approved 与 active
- 验证目标、动作、时限和撤销边界
- 区分授权决定、审计事件与会话录制
亲手探索 / 不同条件，不同结果
有资格，不等于此刻能操作。
走完申请、批准、额外验证与激活，再尝试对测试服务 A 重启、换到服务 B 或执行删除。教学批准限 10 模拟分钟内使用且只能用一次，激活后限 15 模拟分钟；时间由按钮推进，不连接真实账号。
PAM / 按需特权生命周期
有资格，不等于此刻能操作。
虚构运维任务只需重启测试服务 A。先申请、模拟独立审批，再激活十五分钟权限；随后换对象、换动作、推进时钟，观察哪一道边界拒绝操作。所有按钮只改变页面内状态。
切换资格会开始新场景，清空时钟、申请、激活和历史。页面不会授予任何真实账户资格。
- 模拟时钟
- 0 分钟 只由按钮推进，最多 60 分钟
- 申请 / 审批
- 尚未申请 资格不是生效权限
- 当前激活
- 没有激活权限 尚未授予限时操作范围
尚未运行。可以先检查当前操作，看看为什么有资格仍会被拒绝。
查看本地事件历史（最近 8 条）
仅为内存中的教学摘要。较早事件会被移出显示，重置或离开页面会丢失；这不是生产审计存储或真实录像。
还没有模拟事件。
随手查 / 把理解带回实际工作
理解机制之后，检查这些细节。
实验是简化模型。真实环境需要明确业务规则、验证失败路径，并持续维护配置与证据。
01 / 实用细节
把资格、批准和生效状态分开
系统应能说明谁有资格、这次请求是否获批、当前权限是否已生效。本例审批后仍需显式激活；这是教学流程，真实产品可能在批准后自动完成生效，不能照搬界面步骤推断权限状态。[1]
02 / 实用细节
审批必须绑定具体请求
在申请里说明目的、资源范围和所需时长，审批人据此判断。本例只批准“测试服务 A／重启”；获批后切换目标或改成删除仍应拒绝，不能把一条批准泛化成万能管理许可。[1][2]
03 / 实用细节
额外验证与审批承担不同职责
审批回答这次提升是否有业务依据，额外验证加强对使用者身份的确认。本例二者都必需；勾选教学验证只代表条件已满足，不采集认证器，也不真实完成 MFA 或证明审批人的独立性。[2]
04 / 实用细节
限时批准不应成为无限续期按钮
本例批准在获批后满 10 分钟失效，激活消耗该批准，权限在激活后第 15 分钟失效；重复激活不会重置期限。需要延长工作时应回到明确的申请政策，而非借重复请求保留永久特权。[1]
05 / 实用细节
撤销后还要验证下游是否停止接受
本模型每次检查读取当前状态，因此过期或撤销后拒绝后续操作。实际应用可能缓存角色或继续接受已签发凭据；Microsoft 明确提示角色撤销不一定立刻反映在应用访问中，需要验证传播与会话终止机制。[2]
06 / 实用细节
审计既要连得上，也不能泄密
关联申请人、批准、激活、操作目标、时间、结果与撤销事件，区分请求获准和操作完成。录制能力需另外配置和保护；本例录制开关仅改变符号化记录提示，不改变权限，也不采集屏幕、口令或真实会话。[3]
从模拟，到验证
找一个获准的环境，实际检查一次。
勾选用于本页自查，不会自动标记整课已学会。练习与清单刷新后重置。
本页已检查 0 / 5 项
维护任务结束后，哪项做法更符合特权访问管理？
能解释原因，再标记学会。
小测结果同步错题本；“已学会”沿用原有本地学习记录。
资料与依据
- Microsoft Entra · What Is Privileged Identity Management? ↗
JIT、eligible／active、范围、审批与期限；仅作产品实例
- Microsoft Entra PIM · Activate Roles ↗
额外验证、申请范围与应用缓存可能延迟反映撤权
- OWASP · Logging ↗
高权限操作、授权失败、关联字段与应排除的秘密
本页场景、人物与数据均为教学示例。互动选择不会上传；收藏、已学会与错题沿用当前浏览器本地存储。来源正文核对日期：2026-10-08。