ברוב הארגונים יש כמה אנשים עם Global Administrator 24 שעות ביממה, גם כשהם רק קוראים מיילים. אם החשבון נפרץ — התוקף מקבל מיד את כל הענן. PIM (Privileged Identity Management) פותר את זה: ההרשאה קיימת, אבל "כבויה" עד שמבקשים אותה.
Eligible מול Active
- Eligible — המשתמש רשאי להפעיל את התפקיד, אבל כרגע אין לו אותו.
- Active — התפקיד פעיל עכשיו, לזמן מוגבל (למשל שעתיים).
- Permanent Active — בדיוק מה שרוצים לצמצם; להשאיר רק לחשבון חירום (Break-glass).
איך נראית הפעלה
- המנהל נכנס לפורטל PIM ובוחר את התפקיד שלו.
- ממלא סיבה (למשל מספר קריאה) ועובר MFA.
- אם הוגדר — מנהל אחר מאשר את הבקשה.
- אחרי הזמן שנקבע התפקיד נכבה לבד.