Почему пользователи ненавидят PAM?

17.03.2026 05:30:14 | Хабр

Хабы: Блог компании Avanpost

Всем привет! Сегодня хочу затронуть «стыдную» тему – то, о чем ни вендоры, ни интеграторы, ни даже сами заказчики на уровне менеджмента обычно не говорят.

Привилегированные пользователи ненавидят PAM.

Предлагаю разобраться, почему это так, и что тут можно улучшить.

Отвечая на вопрос, сформулированный в названии статьи, я бы выделил три основные проблемы, возникающие при использовании PAM:

● Отрицательное влияние PAM на UX;

● Восприятие PAM как инструмента слежки;

● Проблемы с надежностью.

Давайте разберем каждую из них подробнее.

Влияние на UX

Я давно обратил внимание: знакомясь с новой для себя PAM-системой, опытный, матерый, администратор, почти всегда задает вопросы, нацеленные на то, чтобы оценить удобство пользователей. Все потому, что PAM-системы сильно влияют на UX. Вот несколько ярких примеров того, как это иногда бывает:

● Необходимость для работы с защищаемыми ресурсами применять на АРМ какие-то агенты/клиенты от вендора PAM (либо вовсе – безальтернативное использование браузера в качестве административного клиента);

● Не поддерживаются, либо требуют от пользователя дополнительных телодвижений часть обычных для администратора операций, таких как передача файлов, работа с буфером обмена, sudo и т.п. (в наиболее одиозных ситуациях – буфер обмена работает только в одном направлении из-за того, что сессия транслируется как поток графики);

● «Лишние» и лишние шаги при доступе к ресурсу. Иногда пользователей может в принципе раздражать необходимость зайти в ЛК или предъявлять второй фактор – все-таки тут больше действий, чем при простом подключении, скажем, по SSH или RDP. Но бывает и так, что у вендора не пробрасываются «креды» и состояние аутентификации: зашел пользователь в личный кабинет, предъявил «креды», выбрал ресурс для доступа – и на каком-нибудь шлюзе/прокси/jump ему опять надо предъявлять те же «креды». В числе моих «любимых» – накладываемая на пользователя обязанность указать причину, по какой нужен доступ. Как правило, в реальной практике туда пишут нечто вроде: «Работа». Как эта информация используется потом – остается только гадать;

Подробнее

Читайте также