Во многих организациях у нескольких людей есть Global Administrator круглые сутки — даже когда они просто читают почту. Взломали такую учётку — злоумышленник сразу получает всё облако. PIM (Privileged Identity Management) решает это: право есть, но «выключено», пока его не запросят.
Eligible и Active
- Eligible — пользователь может включить роль, но сейчас её у него нет.
- Active — роль включена сейчас, на ограниченное время (например, два часа).
- Permanent Active — именно то, что мы хотим сократить; оставить только аварийной учётке (Break-glass).
Как выглядит активация
- Админ заходит в портал PIM и выбирает свою роль.
- Указывает причину (например, номер заявки) и проходит MFA.
- Если настроено — другой руководитель одобряет запрос.
- Через заданное время роль выключается сама.