PAM 
Keeper Privileged Cloud garantisce il cosiddetto il privilegio senza permanenza (Zero Standing Privilege, ZSP) estendendo il framework di accesso Just-In-Time (JIT) di KeeperPAM® alle piattaforme di
Pubblicato il Settembre 02, 2026
Puoi ridurre la tua superficie di attacco cloud eseguendo un audit di ogni autorizzazione persistente sulle tue piattaforme cloud e di identità, eliminando gli accessi non necessari e sostituendo i diritti di amministratore sempre attivi con l’accesso Just-In-Time (JIT), concesso previa approvazione, limitato nel tempo e revocato automaticamente.
Per arrivarci, devi innanzitutto capire perché i privilegi permanenti costituiscono una parte così significativa della superficie di attacco cloud. Per mantenere questo risultato, serve la piattaforma giusta per applicare queste misure a tutti gli ambienti cloud e alle identità che gestisci.
Perché i privilegi permanenti costituiscono la parte più significativa della tua superficie di attacco nel cloud
La tua superficie di attacco cloud è l’insieme dei modi in cui un aggressore potrebbe entrare nel tuo ambiente o agire al suo interno: ogni account, credenziale, autorizzazione e integrazione che lo riguarda. Negli ambienti on-premise, gran parte della superficie di attacco è legata alla rete. Nel cloud, invece, è legata alle identità. Un utente, un account di servizio o un’app connessa con credenziali valide e le giuste autorizzazioni non ha bisogno di violare un firewall, perché è già all’interno.
I privilegi permanenti si accumulano silenziosamente. I ruoli cambiano, i progetti finiscono e le persone se ne vanno, ma l’accesso tende a rimanere. Nel tempo, questo genera alcuni problemi prevedibili:
- Accumulo di autorizzazioni: le autorizzazioni si accumulano man mano che i ruoli cambiano e gli accessi concessi in precedenza non vengono revocati, lasciando agli account molte più autorizzazioni del necessario.
- Amministratori zombie: account che rimangono attivi dopo l’uscita di una persona dall’organizzazione o un suo cambio di ruolo e conservano accessi privilegiati che nessuno monitora.
- Amministratori ombra: account con controllo effettivo che non risultano privilegiati nei gruppi della tua directory, pertanto le revisioni standard non li rilevano.
- Identità macchina e non umane (NHI): gli account di servizio, le chiavi API e le identità dei carichi di lavoro superano ormai numericamente gli utenti umani e, nella maggior parte dei casi, dispongono di proprie autorizzazioni permanenti.
Ciascuno di questi è un obiettivo. A un aggressore basta una sola credenziale compromessa per ottenere un punto d’appoggio, e sono i privilegi permanenti a permettergli di andare oltre. Un singolo account con permessi eccessivi apre le porte al movimento laterale e all’escalation dei privilegi nel tuo ambiente.
Come eliminare i privilegi permanenti
Ecco cosa fare per iniziare a eliminare i privilegi permanenti:
- Individua e verifica gli accessi privilegiati: censisci tutti i percorsi di accesso privilegiato in AWS, Entra ID, GCP, Okta e Active Directory, includendo utenti umani, account di servizio e integrazioni di terze parti.
- Applica il principio del privilegio minimo: rimuovi le autorizzazioni inutilizzate ed eccessive, esamina gli account orfani e zombie e rimuovi quelli non più necessari, quindi individua gli amministratori ombra che non emergono dai gruppi della directory.
- Sostituisci i diritti di amministratore permanenti con l’accesso JIT: i diritti di amministratore non devono rimanere assegnati in modo permanente. Concedi invece i privilegi su richiesta e previa approvazione, per un intervallo di tempo prestabilito, e revocali automaticamente al termine.
- Punta all’assenza di privilegi permanenti (Zero Standing Privilege, ZSP): il principio del privilegio minimo riduce al minimo le autorizzazioni assegnate a ciascun account. Il modello ZSP va oltre, eliminando completamente gli accessi permanenti: nessuna identità conserva un accesso privilegiato permanente e l’elevazione dei privilegi è consentita solo durante un intervallo autorizzato.
- Conserva le eccezioni nella cassaforte: alcune credenziali devono comunque esistere, come chiavi master, account root e altri accessi di emergenza. Il modello ZSP non sostituisce la custodia delle credenziali in cassaforte: conserva quindi questi elementi in una cassaforte con controlli rigorosi.
- Adotta un processo continuo: verifica periodicamente gli accessi e registra ogni elevazione dei privilegi, per evitare che le autorizzazioni tornino ad accumularsi inosservate.
Una cosa da tenere presente è che non serve a molto rimuovere un privilegio permanente da AWS se è ancora presente in Entra ID o Okta. Queste misure devono essere applicate a tutti gli ambienti cloud e alle identità federate che gestisci, perché ogni lacuna lascia esposta una parte della superficie di attacco.
Come Keeper Privileged Cloud riduce la superficie di attacco del tuo cloud
Keeper Privileged Cloud gestisce il JIT, sostituendo i diritti di amministratore permanenti con un’elevazione concessa su richiesta e revocata automaticamente. Estende il framework just-in-time di KeeperPAM ad AWS IAM, Microsoft Entra ID, GCP, Okta e Active Directory, oltre a qualsiasi applicazione che si federa tramite di essi.
Il privilegio viene concesso solo dopo l’approvazione, per un intervallo di tempo prestabilito e viene rimosso automaticamente al termine. Ecco il modello ZSP in pratica: l’accesso è subordinato all’approvazione, limitato nel tempo e interamente verificabile tramite audit. Queste condizioni vengono applicate in modo uniforme negli ambienti cloud e alle identità federate, attraverso un’unica piattaforma.
Riduci definitivamente la tua superficie di attacco del cloud
Poche misure riducono la tua superficie di attacco nel cloud quanto l’eliminazione dei privilegi permanenti, che rimuove gli accessi sempre attivi su cui fanno affidamento gli aggressori. La parte più difficile è impedire che questi accessi si ripresentino. Servono verifiche continue degli accessi e un’elevazione dei privilegi automatizzata e limitata nel tempo, per evitare che l’accumulo progressivo di autorizzazioni reintroduca gli accessi eliminati.
Per implementare tutto questo su ogni piattaforma cloud e di directory che utilizzi, inizia una prova gratuita di KeeperPAM.
Domande frequenti
Cos’è una superficie di attacco cloud?
Una superficie di attacco cloud è l’insieme completo dei punti in cui un aggressore potrebbe ottenere l’accesso o agire all’interno del tuo ambiente cloud: account utente, account di servizio, credenziali, permessi, API e app di terze parti connesse.
In che modo i privilegi permanenti aumentano la superficie di attacco?
I privilegi permanenti sono autorizzazioni che rimangono assegnate anche quando nessuno le utilizza, e ciascuna di esse è un bersaglio permanente. Se le credenziali vengono compromesse, l’aggressore eredita tale accesso e può utilizzarlo per il movimento laterale e l’escalation dei privilegi.
Qual è la differenza tra il principio del privilegio minimo e il modello Zero Standing Privilege?
Il principio del privilegio minimo consiste nel concedere a ciascuna identità solo l’accesso necessario per svolgere le proprie attività. Il modello ZSP va oltre: elimina completamente gli accessi privilegiati permanenti e consente l’elevazione dei privilegi solo durante un intervallo autorizzato e limitato nel tempo. Il principio del privilegio minimo riduce al minimo gli accessi permanenti, mentre il modello ZSP li elimina.
Cos’è il permission creep?
Il permission creep, detto anche privilege creep, è l’accumulo graduale di autorizzazioni di accesso assegnate a un’identità nel tempo, quando cambiano i ruoli, iniziano nuovi progetti e le vecchie autorizzazioni non vengono revocate. Gli account finiscono così per disporre di molti più privilegi di quelli necessari per le loro funzioni attuali.
In che modo Keeper aiuta a eliminare i privilegi permanenti?
Keeper Privileged Cloud sostituisce i diritti di amministratore permanenti con un’elevazione basata su approvazione e a tempo determinato su AWS IAM, Entra ID, GCP, Okta e Active Directory, oltre che sulle app federate tramite questi servizi. L’accesso viene concesso su richiesta, limitato a un intervallo prestabilito e revocato automaticamente, in modo che non rimanga alcun accesso privilegiato permanente. Per il flusso di lavoro completo di richiesta e approvazione, scopri come Keeper Privileged Cloud garantisce l’assenza di privilegi permanenti.
