Gli account privilegiati (root, domain admin, service account con pieni poteri) sono il bersaglio finale di ogni attacco – da lì si controlla tutto. Il PAM (Privileged Access Management) li mette sotto governo: le credenziali stanno in un vault (nessuno le conosce a memoria), l'accesso passa da lì, ogni sessione è registrata, e le password si ruotano automaticamente.
Il Just-In-Time (JIT) è il passo che chiude il cerchio con il minimo privilegio: invece di account admin permanenti (superficie d'attacco 24/7), i privilegi si concedono solo quando servono e per il tempo che servono – richiesta, approvazione, accesso che scade da solo. L'admin che non esiste finché non serve non si può rubare.
È un pilastro di Zero Trust e un requisito che NIS2 e ISO 27001 si aspettano. Nel piccolo, i mattoni ci sono già open source: MFA ovunque, SSH a chiavi con bastion, un password manager/vault condiviso, audit log delle sessioni privilegiate – il PAM enterprise è l'industrializzazione di queste stesse idee.