Deploys CyberArk Secure Cloud Access for zero-standing privileges in AWS, Azure, GCP via JIT access controlled by time, entitlements, and approvals. Useful for eliminating standing privileges in multi-cloud environments.
npx claudepluginhub killvxk/cybersecurity-skills-zhThis skill uses the workspace's default tool permissions.
零常设权限（ZSP）是一种安全模型，在该模型中，任何用户或身份都不保留持久的特权访问权限。相反，提升的访问权限以即时（JIT）方式动态配置，并在使用后自动撤销。CyberArk 通过其 Secure Cloud Access（SCA）模块实现 ZSP，该模块在云环境（AWS、Azure、GCP）中创建临时的、范围受限的角色，这些角色仅在会话期间存在。TEA 框架（时间、权限和审批）管理每个特权访问会话。
Deploys CyberArk Secure Cloud Access to implement zero standing privileges in AWS, Azure, GCP using just-in-time access with time, entitlement, and approval controls. Useful for cloud security architecture and compliance.
Deploys CyberArk Secure Cloud Access for zero standing privileges in AWS, Azure, GCP using just-in-time access with time, entitlement, and approval controls.
Implements Just-In-Time (JIT) access provisioning to eliminate standing permissions, granting temporary time-bound access via approval workflows, auto-expiration, PAM/IGA integrations, and zero-trust alignment.
Share bugs, ideas, or general feedback.
零常设权限（ZSP）是一种安全模型，在该模型中，任何用户或身份都不保留持久的特权访问权限。相反，提升的访问权限以即时（JIT）方式动态配置，并在使用后自动撤销。CyberArk 通过其 Secure Cloud Access（SCA）模块实现 ZSP，该模块在云环境（AWS、Azure、GCP）中创建临时的、范围受限的角色，这些角色仅在会话期间存在。TEA 框架（时间、权限和审批）管理每个特权访问会话。
| 组件 | 描述 | 配置 |
|---|---|---|
| 时间（Time） | 特权会话的持续时间 | 最短 15 分钟，最长 8 小时，默认 1 小时 |
| 权限（Entitlements） | 会话期间授予的权限 | 动态范围 IAM 角色/策略 |
| 审批（Approvals） | 访问前的授权工作流 | 自动批准、经理审批或多级审批 |
用户通过 CyberArk 申请访问
│
├── CyberArk 根据策略评估请求:
│ ├── 用户是否有资格访问？
│ ├── 请求是否符合 TEA 策略？
│ └── 是否需要审批？
│
├── [如需审批] → 路由到审批人（ITSM/ChatOps）
│
├── 获批后:
│ ├── CyberArk 在目标云中创建临时 IAM 角色
│ ├── 将权限限定为最小所需权限
│ ├── 设置会话 TTL（时间绑定）
│ └── 配置临时凭据
│
├── 用户通过会话访问云资源
│ ├── 记录和录制所有操作
│ └── 监控会话是否违反策略
│
└── 会话到期:
├── 临时角色已删除
├── 临时凭据已撤销
└── 零常设权限保持
| 组件 | 职责 |
|---|---|
| Identity Security Platform | 中央管理和策略引擎 |
| Privilege Cloud Vault | 存储特权凭据和密钥 |
| Secure Cloud Access | 创建/销毁临时云角色 |
| Endpoint Privilege Manager | 控制本地管理员和应用提权 |
| Privileged Session Manager | 录制和监控特权会话 |
AWS 集成：
{
"Version": "2012-10-17",
"Statement": [{
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::CYBERARK_ACCOUNT:role/CyberArkSCARole"
},
"Action": "sts:AssumeRole",
"Condition": {
"StringEquals": {
"sts:ExternalId": "cyberark-external-id"
}
}
}]
}
Azure 集成：
GCP 集成：
创建将职能映射到云权限的策略：
# CyberArk SCA 策略示例
policy_name: "developer-aws-read-access"
description: "开发者对 AWS 生产环境的只读访问"
target_cloud: "aws"
target_accounts: ["123456789012", "987654321098"]
time_policy:
max_duration: "4h"
default_duration: "1h"
business_hours_only: true
timezone: "America/New_York"
entitlement_policy:
aws_managed_policies:
- "arn:aws:iam::aws:policy/ReadOnlyAccess"
deny_actions:
- "iam:*"
- "organizations:*"
- "sts:*"
resource_restrictions:
- "arn:aws:s3:::production-*"
approval_policy:
approval_required: true
approvers:
- type: "manager"
- type: "group"
group: "cloud-security-team"
auto_approve_conditions:
- previous_approved_same_policy: true
within_days: 7
escalation_timeout: "2h"
escalation_approver: "cloud-security-lead"
设置特权会话录制和实时监控：
与 ITSM 工具集成以实现访问请求和审批：
第一阶段：发现（第 1-2 周）
├── 清点所有云账户中的常设特权角色
├── 将用户映射到其常设角色分配
├── 分析 CloudTrail/活动日志中的实际权限使用情况
└── 识别可转换为 JIT 的角色
第二阶段：策略创建（第 3-4 周）
├── 基于实际使用分析创建 ZSP 策略
├── 为每个策略定义 TEA 参数
├── 配置审批工作流
└── 使用试点用户测试策略
第三阶段：迁移（第 5-8 周）
├── 向试点组分配 ZSP 策略
├── 移除试点用户的常设权限
├── 监控访问问题并调整策略
├── 逐步扩展至更多团队
└── 移除组织范围内的所有常设权限
第四阶段：治理（持续进行）
├── 每月审查 ZSP 策略有效性
├── 每季度优化权限配置
├── 监控策略漂移或常设权限重新创建
└── 向安全领导层报告 ZSP 指标