Keeper® 与 Evo Security 对比：身份安全平台大比拼

Keeper 通过分层、基于身份的策略控制来落实最小权限访问原则。组织可按角色、租户或资源类型应用 MFA、理由提示、限时访问及多方审批。访问权限在设计上为即时 (JIT) 访问，从而消除了常设权限。KeeperPAM 在机器和会话层面实施管控，而 Keeper 端点特权管理器则将治理范围扩展至员工端点的进程级权限提升。每一次访问事件都与经过验证的身份以及授权该访问的策略相关联。

Keeper 通过按键记录、视频会话录制以及不可篡改的审计日志，对特权会话进行端到端记录；这些记录可与客户共享，或在监管审查期间提供。支持 SIEM 的遥测数据以及与 CrowdStrike Falcon、Microsoft Sentinel、Google Security Operations 和 Splunk 的原生集成，使特权活动数据能够无缝流入现有安全运营体系，无需手动导出或额外开展集成工作。

KeeperAI® 持续监控活动中的特权会话，实时分析行为，并根据风险等级对活动进行分类。检测到威胁时，可自动终止会话。

在客户纠纷、合规审计或安全事件调查期间，MSP 不仅能够提供访问权限已获批准的证明，还能提供每次提权会话期间执行操作的完整记录，并可与客户共享。

Keeper 基于零知识、零信任架构搭建。所有加密操作均在数据到达 Keeper 基础设施之前于客户端设备上完成，这意味着 Keeper 无法访问客户保管库中的数据、凭据或机密信息。每条记录均通过用户设备本地生成的唯一 AES-256 加密密钥进行保护。

Keeper 还通过 Kyber 混合密钥封装机制（KEM）支持抗量子加密。Kyber 是 NIST 选定的后量子密码学标准。此外，其密码模块已通过 FIPS 140-3 验证。

Keeper 已获得 FedRAMP High 认证和 GovRAMP High 授权，服务托管于 AWS GovCloud，数据仅存储在美国境内，并由仅限美国人员组成的专属支持团队提供服务，从而赋予 MSP 及其客户完整的数据主权。Keeper 的合规认证体系包括 CMMC 2.0、HIPAA、PCI DSS、SOC 2 Type II、ISO 27001、ISO 27017、ISO 27018、GDPR、NIS2 和 ITAR。Keeper 的加密模块同样已通过 FIPS 140-3 验证。

对于拓展至医疗保健、金融服务、法律、教育或政府领域的 MSP 而言，Keeper 能够满足不断变化的合规需求，无需更换平台。此外，由于客户数据始终保留在明确且可审计的边界范围内，MSP 可以向受监管行业客户提供切实的数据主权保障。

Keeper 在 Windows、macOS 和 Linux 终端之间采用统一的特权策略模型，并将该治理能力扩展至服务器、云账户、数据库和 SaaS 应用程序。同一套保管库、管理控制台和审计记录可支持本地部署、混合环境及云环境中的凭证管理和自动轮换，无需针对不同层级单独部署工具。

对于管理混合操作系统或云优先客户环境的 MSP 而言，这种一致性有助于降低运营复杂度。macOS 和 Windows 不需要采用独立的工具集，Linux 也无需单独的策略框架，同时端点控制与基础设施治理之间不存在割裂。

KeeperAI 原生集成于 KeeperPAM，可对特权会话进行实时监控和分析，包括击键活动和命令执行行为。通过实时识别风险行为，KeeperAI 可帮助安全团队更快地检测和响应威胁，包括依据策略自动终止会话。

KeeperAI 基于主权 AI 框架构建，支持本地部署和云端 LLM（包括 OpenAI、Azure OpenAI、Google Vertex AI 和 Anthropic），同时保持对数据的控制。

KeeperMSP 的架构基于完全隔离的托管公司环境构建，并通过单一管理控制台实现集中管理。MSP 可支持多个产品层级，启用协同管理，向客户 IT 团队委派范围受限的访问权限，并在避免配置冲突的情况下实施租户专属策略。精细化基于角色的访问控制 (RBAC) 有助于管理每位技术人员在 MSP 环境及单个客户账户中的访问和管理权限。

借助 REST API、SIEM 集成、CLI 访问和 SCIM 配置，Keeper 可融入现有的 MSP 自动化和服务交付工作流程中。这为 MSP 提供了一个可扩展的基础，用于管理多租户环境、与运营工具集成，并实现跨客户的入职与管理自动化。