Heimdal APPSEC

Privileged Access Management — PEDM / PASM

Privilegované účty a oprávnenia

Privileged Access Management obmedzuje trvalé administrátorské práva a dáva správcom kontrolu nad tým, kto, kedy a na ako dlho získa vyššie oprávnenia. Heimdal pokrýva dve oblasti: PEDM na dočasné zvýšenie oprávnení na koncových zariadeniach a PASM na privilegované účty a vzdialené relácie na servery.

  • Platformy a nasadenie
  • Windows
  • macOS
  • PASM: RDP/SSH bez agenta
Dohodnúť ukážku Všetky oblasti

Prečo to riešiť

Keď majú používatelia trvalé lokálne administrátorské práva, spustí sa s nimi aj škodlivá príloha alebo podvrhnutý inštalátor. Plošné odobratie práv bez náhrady však vedie k rade požiadaviek na helpdesk pri každej inštalácii alebo zmene nastavení.

Pri serveroch a kritických systémoch býva problémom zdieľanie hesiel medzi správcami a chýbajúci záznam o tom, kto sa kam pripojil a čo počas relácie robil. Bez takejto stopy sa ťažko vyšetrujú incidenty aj odpovedá na otázky audítorov.

Ako to funguje

  1. 01

    Odoberiete trvalé práva

    Používatelia bežne pracujú bez administrátorských práv. Prehľad Compliance ukazuje, na ktorých zariadeniach majú prihlásení používatelia stále práva správcu.

  2. 02

    Používateľ požiada o zvýšenie

    Cez agenta požiada o spustenie jedného súboru s vyššími právami alebo o časovo obmedzenú administrátorskú reláciu, podľa politiky aj s uvedením dôvodu.

  3. 03

    Žiadosť sa vyhodnotí

    Správca ju schváli alebo zamietne v konzole či na mobile, prípadne sa vybaví automaticky. Rizikové žiadosti je možné pravidlami zamietať.

  4. 04

    Všetko sa zaznamená

    Po uplynutí nastaveného času sa práva odoberú. V histórii zostane, kto práva mal, z akého dôvodu a aké procesy počas zvýšenia spustil.

Kľúčové schopnosti

Zvýšenie pre jeden súbor alebo celú reláciu

PEDM rozlišuje spustenie konkrétneho súboru s vyššími právami a dočasnú administrátorskú reláciu s nastavenou dĺžkou. Udelené práva je možné kedykoľvek predčasne odobrať.

Schvaľovanie a pravidlá rizika

Žiadosti schvaľuje správca v konzole alebo z mobilu, prípadne beží automatický režim. Politika môže zakázať zvýšenie pre systémové nástroje, pre zariadenia s detekciou malvéru alebo so zraniteľnou aplikáciou.

MFA a primárny používateľ

Žiadosť o zvýšenie je možné podmieniť viacfaktorovým overením. Na zdieľaných počítačoch možno právo žiadať obmedziť len na určeného primárneho používateľa.

Trezor poverení v PASM

Privilegované prihlasovacie údaje sú uložené v trezore Enterprise Credential Vault a prístup k nim chráni viacfaktorové overenie. Obmedzuje sa tak zdieľanie hesiel medzi správcami.

Relácie na servery cez RDP a SSH

PASM ponúka pripojenie k serverom cez RDP a SSH jedným kliknutím bez agenta na cieľovom serveri. Prístup riadia roly (RBAC) a dočasné žiadosti just-in-time.

Záznam a prehrávanie relácií

Privilegované relácie v PASM je možné sledovať v reálnom čase, nahrávať a neskôr prehrať. Spolu s históriou PEDM to dáva auditnú stopu na vyšetrovanie aj kontroly.

Súvislosti s ďalšími vrstvami

Heimdal je jedna platforma. Táto vrstva zdieľa kontext s ostatnými:

Privilegované účty a oprávnenia

Platformy a nasadenie

PEDM podporuje Windows aj macOS 14+; na Windows doménové aj nedoménové zariadenia vrátane prostredí s Active Directory, Azure AD (Entra ID) alebo hybridným nastavením; PASM sa k cieľovým serverom pripája cez RDP a SSH bez agenta.

APPSEC

S čím pomôže APPSEC

APPSEC najprv zmapuje, kto vo vašom prostredí má administrátorské práva a na čo ich naozaj používa. Podľa toho navrhneme politiky na zvyšovanie oprávnení, schvaľovací postup a prípadne rozsah PASM pre servery. Pilot spustíme na menšej skupine používateľov, pravidlá doladíme tak, aby zbytočne nezaťažovali helpdesk, a až potom práva odoberáme plošne. Po odovzdaní pomáhame s úpravami politík a vyhodnocovaním auditných záznamov.

Dohodnúť ukážku

Časté otázky

Čo ak správca práve nie je pri počítači?

Žiadosti je možné schvaľovať aj z mobilného zariadenia. Pre bežné situácie možno nastaviť automatické schválenie a ručné posúdenie ponechať len rizikovým žiadostiam.

Potrebujeme PEDM aj PASM?

Závisí od toho, čo riešite. PEDM sa týka oprávnení používateľov na ich zariadeniach, PASM prístupov správcov k serverom a privilegovaným účtom. Rozsah závisí od zvolených modulov a licencie.

Funguje to aj na terminálových serveroch?

Áno, pre servery s viacerými súčasne prihlásenými používateľmi má agent samostatný spôsob vyžiadania relácie, ktorý jednotlivých používateľov rozlíši. Konkrétne nastavenie odporučíme podľa vášho prostredia.

Konkrétne funkcie a podpora operačných systémov sa líšia podľa verzie a licencie. Rozsah overíme pre vaše prostredie.

Zdroje výrobcu (EN), overené 23. 10. 2026: Heimdal – Privileged Access Management · Heimdal – Privilege Elevation and Delegation Management (PEDM) · Heimdal – Privileged Account and Session Management (PASM) · Heimdal Support – Privilege Elevation and Delegation Management (PEDM) (Windows)

HEIMDAL × APPSEC

Ukážeme vám to na vašom prostredí.

Prejdeme vaše zariadenia a riziká a navrhneme vhodné moduly.

Dohodnúť ukážku