情報セキュリティ・暗号・認証 重要度:★★★出題: AM・PM
特権アクセス管理 (PAM)
とっけんあくせすかんり / Privileged Access Management (PAM)
管理者アカウント（Administrator / root）の権限昇格、利用申請、操作ログを厳格に統制・監視するセキュリティ基盤。
3行速習ポイント
- ドメイン管理者やDB管理者など高特権アカウントの不正利用・クレデンシャル窃取を防止
- パスワードの動的ローテーション（Vault保管）と申請承認ベースの一時的権限貸与（JITアクセス）
- 特権セッションの全操作録画・キーストロークログ取得による監査証跡の確実な保全
図解
図特権アクセス管理（PAM）の4層保護アーキテクチャ階層・レイヤ構造
申請・MFA認証層 ➔ PAM踏み台・セッション録画層 ➔ 暗号化Vault層 ➔ 保護対象基盤Layer 1: 申請・認証
利用者・運用担当者層（申請 ＆ MFA本人認証）
作業チケットと紐づいた特権利用申請および多要素認証の実施
システム管理者であっても常時特権を持たせず（Zero Standing Privileges）、メンテナンス作業時に上長承認とMFA認証を経て初めてPAMへの接続を許可する。
⇅ レイヤ間連携・制御境界
Layer 2: 制御・監査
PAMゲートウェイ / 踏み台層（JIT認可 ＆ 操作録画）
許可時間帯のみセッションを中継し全コマンド・画面操作を監査記録
作業者に特権パスワード文字列を一切見せることなく、PAMが代理でターゲット機器へ自動ログイン（クレデンシャルインジェクション）し、操作動画とキーログを改ざん不能領域へ保存する。
⇅ レイヤ間連携・制御境界
Layer 3: 鍵・PW管理
Credential Vault層（特権認証情報の暗号化保管庫）
root / Administrator パスワードやSSH秘密鍵の自動ローテーション
特権パスワードやAPIシークレットをHSM等で保護された暗号化保管庫（Vault）で一元管理し、作業完了後または一定周期でランダムな強固パスワードへ自動変更する。
⇅ レイヤ間連携・制御境界
Layer 4: 重要資産
保護対象ターゲット資産（AD / 基幹DB / クラウドIAM）
踏み台経由以外の直接特権ログインをFW・設定で全面遮断
Active Directoryドメインコントローラや本番DBサーバ側では、PAM踏み台サーバのIPアドレス以外からのSSH/RDP管理接続を遮断し、バイパスアクセスを防止する。
💡 午後セキュリティ問題の定番対策：「管理者パスワードを作業者に直接知らせずVaultで自動ローテーションする」「申請承認された作業時間帯のみ一時的に特権を付与する（JIT）」。
概要と本質
ランサムウェアや標的型攻撃において、攻撃者の主目的は「特権アカウントの奪取」です。PAMは、サーバーやネットワーク機器の管理者権限パスワードを中央の暗号化保管庫（Vault）で一元管理し、作業者への直接パスワード開示を防ぐとともに、必要な時間帯だけ最小権限を付与する仕組みです。
重要ポイント・コア概念
- 特権パスワードのVault一元管理と自動定期ローテーション
- JIT（Just-In-Time）アクセス：申請承認に基づく一時的な特権付与
- 特権操作のセッション録画・リアルタイム遮断
- 踏み台（Bastion / Jump Server）経由でのアクセス制御と多要素認証（MFA）強制
応用情報（午前択一・午後長文記述）での出題・得点戦略
午後問1でActive Directoryやドメインコントローラのセキュリティ強化策として問われる。「パスワードの集中管理」「ワンタイム特権貸出」「特権操作の証跡記録」のキーワードを正確に書けるようにする。
