Heimdal APPSEC

Privileged Access Management — PEDM / PASM

Privilegované účty a oprávnění

Privileged Access Management omezuje trvalá administrátorská práva a dává správcům kontrolu nad tím, kdo, kdy a na jak dlouho získá vyšší oprávnění. Heimdal pokrývá dvě oblasti: PEDM pro dočasné zvýšení oprávnění na koncových zařízeních a PASM pro privilegované účty a vzdálené relace na servery.

  • Platformy a nasazení
  • Windows
  • macOS
  • PASM: RDP/SSH bez agenta
Domluvit ukázku Všechny oblasti

Proč to řešit

Když mají uživatelé trvalá lokální administrátorská práva, spustí se s nimi i škodlivá příloha nebo podvržený instalátor. Plošné odebrání práv bez náhrady ale vede k frontě požadavků na helpdesk kvůli každé instalaci nebo změně nastavení.

U serverů a kritických systémů bývá problémem sdílení hesel mezi správci a chybějící záznam o tom, kdo se kam připojil a co během relace dělal. Bez takové stopy se špatně vyšetřují incidenty i odpovídá na otázky auditorů.

Jak to funguje

  1. 01

    Odeberete trvalá práva

    Uživatelé pracují běžně bez administrátorských práv. Přehled Compliance ukazuje, na kterých zařízeních mají přihlášení uživatelé stále práva správce.

  2. 02

    Uživatel požádá o zvýšení

    Přes agenta požádá o spuštění jednoho souboru s vyššími právy, nebo o časově omezenou administrátorskou relaci, podle politiky i s uvedením důvodu.

  3. 03

    Žádost se vyhodnotí

    Správce ji schválí nebo zamítne v konzoli či na mobilu, případně se vyřídí automaticky. Rizikové žádosti lze pravidly odmítat.

  4. 04

    Vše se zaznamená

    Po uplynutí nastavené doby se práva odeberou. V historii zůstane, kdo práva měl, z jakého důvodu a jaké procesy během zvýšení spustil.

Klíčové schopnosti

Zvýšení pro jeden soubor nebo celou relaci

PEDM rozlišuje spuštění konkrétního souboru s vyššími právy a dočasnou administrátorskou relaci s nastavenou délkou. Udělená práva lze kdykoli předčasně odebrat.

Schvalování a pravidla rizika

Žádosti schvaluje správce v konzoli nebo z mobilu, případně běží automatický režim. Politika může zakázat zvýšení pro systémové nástroje, pro zařízení s detekcí malwaru nebo se zranitelnou aplikací.

MFA a primární uživatel

Žádost o zvýšení lze podmínit vícefaktorovým ověřením. Na sdílených počítačích lze právo žádat omezit jen na určeného primárního uživatele.

Trezor pověření v PASM

Privilegované přihlašovací údaje jsou uloženy v trezoru Enterprise Credential Vault a přístup k nim chrání vícefaktorové ověření. Omezuje se tak sdílení hesel mezi správci.

Relace na servery přes RDP a SSH

PASM nabízí připojení k serverům přes RDP a SSH jedním kliknutím bez agenta na cílovém serveru. Přístup řídí role (RBAC) a dočasné žádosti just-in-time.

Záznam a přehrání relací

Privilegované relace v PASM lze sledovat v reálném čase, nahrávat a později přehrát. Spolu s historií PEDM to dává auditní stopu pro vyšetřování i kontroly.

Souvislosti s dalšími vrstvami

Heimdal je jedna platforma. Tato vrstva sdílí kontext s ostatními:

Privilegované účty a oprávnění

Platformy a nasazení

PEDM podporuje Windows i macOS 14+; na Windows doménová i nedoménová zařízení včetně prostředí s Active Directory, Azure AD (Entra ID) nebo hybridním nastavením; PASM se k cílovým serverům připojuje přes RDP a SSH bez agenta.

APPSEC

S čím pomůže APPSEC

APPSEC nejprve zmapuje, kdo ve vašem prostředí má administrátorská práva a k čemu je skutečně používá. Podle toho navrhneme politiky pro zvyšování oprávnění, schvalovací postup a případně rozsah PASM pro servery. Pilot spustíme na menší skupině uživatelů, pravidla doladíme tak, aby zbytečně nezatěžovala helpdesk, a teprve potom práva odebíráme plošně. Po předání pomáháme s úpravami politik a vyhodnocováním auditních záznamů.

Domluvit ukázku

Časté otázky

Co když správce zrovna není u počítače?

Žádosti lze schvalovat i z mobilního zařízení. Pro běžné situace lze nastavit automatické schválení a ruční posouzení ponechat jen rizikovým žádostem.

Potřebujeme PEDM i PASM?

Záleží na tom, co řešíte. PEDM se týká oprávnění uživatelů na jejich zařízeních, PASM přístupů správců k serverům a privilegovaným účtům. Rozsah závisí na zvolených modulech a licenci.

Funguje to i na terminálových serverech?

Ano, pro servery s více současně přihlášenými uživateli má agent samostatný způsob vyžádání relace, který jednotlivé uživatele rozliší. Konkrétní nastavení doporučíme podle vašeho prostředí.

Konkrétní funkce a podpora operačních systémů se liší podle verze a licence. Rozsah ověříme pro vaše prostředí.

Zdroje výrobce (EN), ověřeno 23. 10. 2026: Heimdal – Privileged Access Management · Heimdal – Privilege Elevation and Delegation Management (PEDM) · Heimdal – Privileged Account and Session Management (PASM) · Heimdal Support – Privilege Elevation and Delegation Management (PEDM) (Windows)

HEIMDAL × APPSEC

Ukážeme vám to na vašem prostředí.

Projdeme vaše zařízení a rizika a navrhneme vhodné moduly.

Domluvit ukázku