特权账号管理是什么
特权账号指管理员、数据库超管、云平台根账号等拥有高权限的凭据，是审计的重点对象。管理要求包括专人审批开通、定期改密或密钥轮换、操作留痕可追溯、人员离岗即时回收，并把共享特权账号逐步整改为个人账号。
基本要素
| 主要风险 | 权力集中、操作无痕、多人共用难以追溯到个人 |
|---|---|
| 核心控制 | 审批开通、会话录屏或命令审计、定期轮换、最小授权 |
| 回收要求 | 人员变动立即回收，季度核对特权账号清单 |
| 共享账号 | 能整改的转个人账号，确需保留的登记责任人与使用场景 |
典型使用场景
- 数据库与云平台超管账号的日常管理
- 外部实施方临时授权：明确期限与范围，到期自动回收
- 季度权限复核中把特权账号作为重点清单
- 故障处置后检查操作留痕是否完整可追溯
- 上线运维通道：从直连生产改为经审计跳板或堡垒机
控制清单示例
控制清单示例
□ 特权开通是否有申请、审批与用途说明？
□ 操作会话能否录屏或保留完整命令记录？
□ 密码与密钥是否有轮换周期并留存记录？
□ 临时授权是否设定到期时间并自动回收？
□ 离岗人员特权是否在当日收回？
□ 共享账号是否有登记的责任人与使用场景？
# 清单每季度照做一次，结果交由负责人确认控制项与常见缺失
| 控制项 | 目的 | 常见缺失 |
|---|---|---|
| 开通审批 | 确保授权有据可查 | 口头授权，无申请单 |
| 会话审计 | 出问题能定位到人 | 只有登录日志，无操作记录 |
| 定期轮换 | 降低凭据泄露影响面 | 密钥多年未更换 |
| 到期回收 | 避免权限长期滞留 | 临时权限沿用数年 |
| 共享账号登记 | 让使用可追溯 | 账号多人共用且无人负责 |
共享管理员账号是审计中最难解释的问题：一旦出事无法定位到人，后续所有取证结论都会受限，应优先整改为个人账号加代理授权。