①【项目背景】
给一家单位做安全检查，问 IT 主管「核心交换机的密码谁有」，他想了想说：我、副手、还有外包的小王。再问小王离职了没，答「上个月走的」。我们上去一看，账号还在，权限还是 super，登录日志只留了 30 天，查不到他走后有没有登过。
这不是个例。特权账号是内网最大的后门，偏偏最没人管。
②【咨询设计】
上特权账号管理系统（PAM），核心是三件事：账号托管、按需申请、全程录屏。所有设备的口令改成 32 位随机，由保险箱保管，运维人员不掌握明文，要用就申请，审批通过后系统代填，会话录屏+命令审计。用完自动改密，改密失败告警。
双人复核用在三类操作：核心设备配置变更、数据库导出、安全设备策略修改。一个人申请，另一个人批，系统留两个人的工号。很多同行觉得录屏就够了，实际上录屏是事后追责，双人复核才是事前拦住。改密脚本得按设备型号分别写：华为 VRP 走 user-interface 下的 local-user password irreversible-cipher，H3C 走 local-user password cipher，数据库还得区分是否启用了密码复杂度策略，脚本里统一先关策略再改密再开回来，顺序错了就卡住。
③【施工规划】
PAM 设备旁路部署在运维网段，不改动现有网络拓扑。先纳管 42 台设备：核心交换机 2 台、防火墙 2 台、服务器 26 台、数据库 8 台、安全设备 4 台。按设备类型建账号组，每组的改密脚本不同——华为 VRP、H3C Comware、Linux、Windows、Oracle 各一套，改密失败重试 3 次后告警。
录屏走 RDP/SSH 代理，视频存 180 天，按 500GB 估算。运维人员用手机 App 做动态口令，与 AD 账号绑定。上线前把所有历史共享账号（admin、root、test）全部禁用，这一步会挨骂，但必须做。
④【安全补丁】
PAM 本身是「超级管理员」，必须重点保护：管理口单独 VLAN、禁止上网、双因子登录、审计日志实时同步到独立日志服务器（syslog，只收不删）。保险箱的应急账号封存在信封里，放保险柜，破封留记录。外包人员账号设有效期，合同到期自动禁用，这一条写进合同。
⑤【验收交付】
验收：42 台设备纳管率 100%；改密成功率 100%（含 8 台数据库）；申请-审批-登录全流程平均 90 秒；拔网线后应急账号可用；日志与设备侧记录比对一致。交付账号清单、审批流程、应急预案。
⑥【售后承诺】
登不上、改密失败，2 小时到场，大年三十 17704868686 也接。等保检查前免费帮您过一遍特权账号，终身免费咨询。
【不舍昼夜技术 · 包头IT全生命周期服务】
业务全闭环：咨询规划、方案设计、工程实施、竣工验收、维保售后。
咱能干的：包头修电脑/装监控/拉网线/做系统/救数据/办软件/卖耗材。
技术范畴：5G通信、大数据服务、信息系统集成、网络安全、商用密码、平面设计。
服务区域：昆区、青山区、九原区、东河区、高新区等包头全境，随叫随到。
技术热线：17704868686（本地专业团队，不舍昼夜为您守候！）