# Implementing Privileged Access Management With Cyberark

> 部署 CyberArk 特权访问管理，对企业基础设施中的特权凭据进行发现、保管、轮换和监控。涵盖保险库架构、会话隔离、凭据轮换策略，以及与 NIST 800-53 访问控制要求的集成。

- Skill: `killvxk/implementing-privileged-access-management-with-cyberark` (Agent Skill, multi-file: 8 files)
- Install (CLI): `npx skillmds@latest add killvxk/implementing-privileged-access-management-with-cyberark`
- Raw SKILL.md: https://api.skillmd.com/api/skills/killvxk/implementing-privileged-access-management-with-cyberark/raw
- Safety review: pending
- Works with: Claude Code, Claude.ai, OpenAI Codex
- Category: Coding & Dev Tools
- License: Apache-2.0
- Author: killvxk (https://skillmd.com/u/killvxk)
- Updated: 2026-09-17
- Page: https://skillmd.com/skills/killvxk/implementing-privileged-access-management-with-cyberark

---

# 使用 CyberArk 实施特权访问管理

## 概述
部署 CyberArk 特权访问管理，对企业基础设施中的特权凭据进行发现、保管、轮换和监控。涵盖保险库架构、会话隔离、凭据轮换策略，以及与 NIST 800-53 访问控制要求的集成。

## 目标
- 设计具备高可用性的 CyberArk 保险库架构
- 实现特权凭据的自动化发现和纳管
- 为不同账户类型配置凭据轮换策略
- 部署特权会话管理器（PSM）以实现会话隔离和录制
- 将 CyberArk 与 SIEM 集成以进行特权访问监控
- 实施即时（JIT）特权访问工作流

## 关键概念

### CyberArk 架构组件
1. **数字保险库（Digital Vault）**：采用 FIPS 140-2 验证加密的凭据存储
2. **中央策略管理器（CPM）**：自动化密码轮换和验证
3. **特权会话管理器（PSM）**：会话隔离、录制和击键日志
4. **密码保险库 Web 访问（PVWA）**：凭据管理的 Web 界面
5. **特权威胁分析（PTA）**：特权账户的行为分析
6. **Conjur Secrets Manager**：应用身份和密钥管理

### 保险库安全模型
- **主策略（Master Policy）**：全局安全设置（双重控制、独占访问、一次性密码）
- **保险箱（Safes）**：具有细粒度权限的凭据逻辑容器
- **平台（Platforms）**：定义轮换、验证和对账的配置档案
- **账户组（Account Groups）**：关联共享轮换依赖关系的账户

### 凭据生命周期
1. **发现**：扫描基础设施中的特权账户
2. **纳管**：将账户导入保险库并分配平台
3. **轮换**：按策略计划自动更改密码
4. **验证**：定期验证保管凭据是否有效
5. **对账**：当保险库与目标不同步时重新同步凭据
6. **下线**：移除不再需要的账户

## 实施步骤

### 第 1 步：保险库架构设计
1. 在安全网络区域部署主保险库服务器
2. 配置保险库高可用性（含 DR 保险库）
3. 加固保险库服务器操作系统（移除不必要服务、禁用 RDP）
4. 配置防火墙规则（仅允许授权组件访问 1858 端口）
5. 设置加密备份

### 第 2 步：保险箱和策略配置
1. 按业务部门创建保险箱层次结构
2. 按最小权限原则定义保险箱成员角色：
   - 保险箱管理员：管理保险箱成员资格
   - 凭据管理员：添加/修改账户
   - 审计员：仅查看审计日志
   - 用户：检索/使用凭据
3. 配置主策略设置：
   - 凭据检索需要双重控制
   - 启用独占访问（同一时间每个凭据只允许一个用户）
   - 为敏感账户设置一次性密码模式

### 第 3 步：平台配置
- Windows 域管理员：每 24 小时轮换，每 4 小时验证
- Linux Root：每 72 小时轮换，含 SSH 密钥轮换
- 数据库管理员（Oracle、SQL Server）：每 24 小时轮换
- 网络设备：每 7 天轮换
- 服务账户：按计划轮换，需管理依赖关系
- 云 IAM 密钥：每 90 天轮换，采用双密钥策略

### 第 4 步：特权会话管理
1. 在负载均衡器后部署 PSM 服务器
2. 配置会话录制（视频、击键、命令日志）
3. 设置会话隔离（用户通过 PSM 连接，永不直接访问）
4. 为 RDP、SSH、数据库、Web 应用定义连接组件
5. 配置实时会话监控和终止能力
6. 设置会话录制保留期（合规要求最少 1 年）

### 第 5 步：集成与监控
1. 将 CyberArk 审计日志以 CEF/Syslog 格式转发至 SIEM
2. 配置 PTA 行为分析：
   - 检测凭据盗窃指标
   - 对可疑特权会话活动发出告警
   - 监控未纳管的特权账户使用情况
3. 与工单系统集成以实现访问请求工作流
4. 设置轮换失败、验证失败、策略违规告警

## 安全控制
| 控制项 | NIST 800-53 | 描述 |
|---------|-------------|------|
| 特权访问 | AC-6(7) | 特权账户控制 |
| 凭据管理 | IA-5 | 自动化凭据轮换 |
| 会话录制 | AU-14 | 会话审计能力 |
| 访问执行 | AC-3 | 保险库强制访问策略 |
| 职责分离 | AC-5 | 敏感操作的双重控制 |

## 常见误区
- 未配置对账账户导致轮换后锁定
- 为有依赖关系的服务账户设置过于激进的轮换计划
- 未在生产部署前测试 PSM 连接组件
- 未为保险库不可用情况建立紧急访问程序
- 忽略网络设备凭据管理

## 验证清单
- [ ] 保险库仅可从授权组件访问
- [ ] 所有已纳管账户的凭据轮换成功
- [ ] PSM 会话已录制且可检索
- [ ] 敏感凭据检出已强制执行双重控制
- [ ] SIEM 收到 CyberArk 审计事件
- [ ] 紧急访问程序已测试并记录文档
- [ ] DR 保险库故障转移测试成功