Problemfeld dauerhafte Zugriffsrechte von Cloud-Identitäten
21. Juli 2026
Eine Just-in-Time-Zugriffsfunktion stellt sicher, dass privilegierte Berechtigungen nur bei Bedarf erteilt und automatisch widerrufen werden, sobald eine Sitzung abläuft. Sie ermöglicht neben einem Just-in-Time-Zugriff (JIT) die Einschränkung dauerhafter Berechtigungen für Cloud-Identitätsanbieter wie AWS IAM, Azure Entra ID, Google Cloud Platform, Okta und Active Directory ein.
Mit diesem Ansatz wird sichergestellt, dass privilegierte Berechtigungen nur für die Dauer einer genehmigten Sitzung bestehen und automatisch widerrufen werden, sobald die Sitzung endet. Durch die Beseitigung des Zeitfensters, in dem privilegierte Berechtigungen für Cloud-Identitätsplattformen ungenutzt verbleiben, verringert Keeper Privileged Cloud die Angriffsfläche auf nur die Momente, in denen der Zugriff tatsächlich genutzt wird. Ruhende Berechtigungen, die Angreifer ausnutzen könnten, sind damit eliminiert.
Laut einer Untersuchung von Keeper verfügen 64 Prozent der Organisationen nicht über eine vollständig konsolidierte Governance für den privilegierten Zugriff. 43 Prozent erlauben nach wie vor direkte Anmeldungen in Anwendungen, die ihre Identitätsanbieter vollständig umgehen. Diese Lücken führen dazu, dass privilegierte Berechtigungen lange nach Abschluss der Arbeiten in Cloud-Identitätsplattformen verbleiben und damit die dauerhaften Angriffspunkte bieten, nach denen Angreifer suchen.
Funktionsweise
Wenn ein Benutzer eine Anfrage für einen erhöhten Zugriff stellt und diese genehmigt wird, wendet Keeper Privileged Cloud den Zugriffslevel an, den ein Administrator für diesen Anfragentyp vorab konfiguriert hat – zum Beispiel eine bestimmte Rolle oder Gruppe, die auf einen definierten Satz von Berechtigungen beschränkt ist. Anschließend fügt es eine temporäre Gruppenmitgliedschaft oder Rollenzuweisung in der Ziel-Identitätsplattform hinzu, die an das genehmigte Zeitfenster gebunden ist.
Sobald der Zugriff genehmigt wurde, startet der Benutzer die Zielkonsole oder -anwendung direkt aus dem Keeper Vault über Remote Browser Isolation. Jede Aktion in der Sitzung wird in Echtzeit von KeeperAI aufgezeichnet und analysiert. Wenn das genehmigte Zeitfenster abläuft, entfernt KeeperPAM den erweiterten Zugriff automatisch. Es werden keine dauerhaften Konten erstellt, keine privilegierten Berechtigungen mit Endbenutzern geteilt und es sind keine manuellen Bereinigungen erforderlich.
Eine Plattform, ein Prüfprotokoll
Die meisten Unternehmen versuchen, die Lücke bei dauerhaften Zugriffsrechten zu schließen, indem sie JIT-Zugriff von ihrem Identitätsanbieter, ihrem PAM-Tool und ihrem Cloud-Anbieter kombinieren. Das Ergebnis sind drei Systeme, drei Prüfprotokolle und kein einheitlicher Durchsetzungsmechanismus. Keeper Privileged Cloud konsolidiert dies in einer einzigen Plattform, die Passwortverwaltung, Secrets-Management, Sitzungsverwaltung und Endpunkt-Berechtigungsverwaltung abdeckt. Da die Funktion nativ in KeeperPAM integriert und nicht über einen Drittanbieter-Connector nachgerüstet ist, arbeiten Zugriffssteuerung, Anmeldedatenschutz und Prüfung von Anfang an innerhalb derselben Zero-Knowledge-Architektur.
Dieses Governance-Modell erstreckt sich auch auf nicht-menschliche Identitäten und KI-Agenten. Jede Identität, ob menschlich oder maschinell, erhält nur den Zugriff, den die Aufgabe erfordert, und zwar nur für die Dauer dieser Aufgabe und mit einem vollständigen Prüfprotokoll. Organisationen benötigen keine separaten Tools, keine separaten Anbieter und keine separaten Integrationsprojekte.
Craig Lurey ist CTO und Mitgründer von Keeper Security.
