端点特权管理器

Keeper 端点特权管理器是一款特权提升与委派管理（PEDM）解决方案，可在 Windows、macOS 和 Linux 端点上实施最小特权访问策略。它为用户和进程提供即时权限提升，消除长期有效的本地管理员权限，并管控受管理端点上的 AI 智能体活动。

需要审批时，用户的访问请求会转交给 Keeper 管理员，并通过 Admin Console 或 Commander CLI 进行处理。如果根据适用策略无需审批，Keeper 智能体便会自动批准此次权限提升。如果策略要求进行 MFA，系统会提示用户先完成多因素身份验证（MFA），然后才能继续操作。这种灵活的机制支持跨设备实现交互式和策略驱动的即时（JIT）访问。

端点特权管理器通过在 Windows、macOS 和 Linux 上部署智能体，消除长期有效的本地管理员权限，并借助即时（JIT）访问实施进程级控制。用户无需长期持有管理员特权；特权命令通过 Keeper 管理的临时账户执行，从而实现真正的零常驻特权（ZSP）环境。

集中式仪表板清晰展示所有近期事件，包括监控模式下的事件，同时也是以下关键工作流程的入口：Requests（请求）、Deployments（部署）、Collections（集合）、Policies（策略）和 AI Agent Inventory（AI 智能体清单）。

Keeper EPM uses three policy types to govern AI agents. Agentic AI controls whether a recognized agent can run, blocking it or requiring approval before it acts. Agentic Access governs what a running agent may do, while Agentic Privilege Elevation governs an agent's requests for administrative privileges. These policies support controls such as allow, deny, approval, justification and MFA. Confidence-score thresholds can be applied to Possible Agents to help tailor enforcement to how likely a process is to be an AI agent.

Keeper 端点特权管理器通过直接管控端点上的特权提升，进一步拓展了 KeeperPAM 的零信任安全理念，并与整个 PAM 解决方案的安全连接功能形成互补。KeeperPAM 平台的其他组件负责保护用户与系统之间的连接，而Keeper 端点特权管理器则管控用户连接后可以行使哪些管理权限。

安装并运行 Keeper 智能体的用户可以通过桌面界面查看已应用的特权策略和特权提升请求。当某项操作需要提升权限时，系统会根据组织的策略显示提示。当 AI 智能体尝试执行需要人工参与审批的敏感操作时，用户会看到相同类型的提示，并可实时批准或拒绝该操作。

对于已部署 LAPS 的组织，端点特权管理器可以与 LAPS 无缝协同工作。在这种互补方案中，LAPS 可继续管理已加入域的计算机上的本地管理员密码轮换，而 KeeperPAM 则负责管理 LAPS 管理范围之外的域账户、服务账户及其他特权凭据。这种集成既能充分利用您现有的 LAPS 部署投资，又能将特权访问保护扩展到更多系统和账户类型。

端点特权管理器通过在端点上实施最小特权控制，进一步完善了这一安全体系。LAPS 侧重于保护长期有效的管理员账户凭据，而端点特权管理器则通过为特定任务提供临时特权提升，从源头上减少对这类账户的依赖。这些解决方案协同工作，提供全面的安全保护：LAPS 保障本地管理员密码的安全，KeeperPAM 管理并控制对这些凭据及其他特权账户的访问，而端点特权管理器则确保用户仅在必要且获得授权时才能获得提升的特权。

有关 Keeper 端点特权管理器的技术文档，请参阅 Keeper 端点特权管理器 Docs。