Outil PAM : 8 logiciels de gestion des accès à privilèges et bastions informatiques comparés

Un outil PAM (Privileged Access Management, ou gestion des accès à privilèges) protège les comptes qui peuvent tout faire sur un système : administrateurs, comptes root, comptes de service, accès des prestataires. Il garde leurs identifiants dans un coffre-fort, ouvre les sessions à la place de l'administrateur, les enregistre et retire les droits une fois la tâche terminée. La partie qui relaie et trace les sessions s'appelle souvent bastion informatique, ou bastion d'administration. Cette page compare 8 logiciels de ce métier. Pour l'accès quotidien de tous les salariés (annuaire, SSO, MFA), voyez les solutions IAM ; le reste de la sécurité informatique figure dans les logiciels tech.

Outil PAM et bastion informatique : définition, risques des comptes à privilèges et avantages

Un compte à privilèges peut installer, modifier ou effacer : c'est la cible d'un attaquant déjà entré dans le réseau. WALLIX résume le risque ainsi : « La plupart des violations commencent par un accès à privilèges ». Idira (ex-CyberArk) attribue aux accès de tiers près de 29 % des violations.

Le bastion s'interpose entre l'administrateur et la machine : on se connecte au bastion, qui ouvre la session sur la cible sans révéler le mot de passe et en garde la trace. Un outil PAM complet y ajoute le coffre-fort des identifiants, l'élévation des privilèges sur les postes et les accès juste-à-temps. Les avantages : moins de mots de passe d'administration partagés, des droits qui expirent et une preuve de qui a fait quoi pour un audit. Un coffre d'équipe tenu par un logiciel de gestion de mots de passe met des identifiants en commun ; l'outil PAM évite précisément de les montrer.

Comment fonctionne un outil PAM : coffre-fort, sessions, élévation des privilèges et accès des prestataires à distance

• Coffre-fort et rotation. Les identifiants sont stockés puis changés automatiquement ; l'utilisateur ne les voit pas, l'outil les injecte à la connexion.

• Gestion des sessions. Chaque session RDP, SSH ou web passe par le relais, qui l'enregistre, permet de la suivre en direct et de la couper. Idira y ajoute des résumés des commandes anormales générés par IA.

• Élévation des privilèges. Les droits d'administrateur local sont retirés des postes et accordés à la demande, pour une application ou une commande.

• Accès des prestataires. Un accès sans VPN, limité à une tâche et dans le temps, avec la session enregistrée.

• Privilèges juste-à-temps. Plus de droits permanents : le droit naît avec la demande et disparaît après.

Huit outils PAM et bastions, éditeur par éditeur

Quatre plateformes internationales (Idira, BeyondTrust, Delinea, Segura), l'offre PAM360 de ManageEngine et trois éditeurs européens (WALLIX, Systancia, Fudo Security). Keeper, connu pour son gestionnaire de mots de passe, vend aussi KeeperPAM pour les serveurs, les applications web et les bases de données.

Idira (ex-CyberArk)

Les adresses de cyberark.com mènent désormais à Idira, la plateforme de Palo Alto Networks bâtie sur l'héritage de CyberArk. Coffre-fort et rotation, privilèges sans accès permanent, sessions isolées et enregistrées, retrait des droits d'administrateur local, accès juste-à-temps des prestataires sans VPN ni bastion, jusqu'à AWS, Azure, Google Cloud et Kubernetes. Prix sur démonstration.

BeyondTrust

Password Safe pour le coffre-fort, la rotation et la découverte des comptes cachés ; Privileged Remote Access pour les prestataires, sans VPN et avec injection des identifiants ; Endpoint Privilege Management pour le moindre privilège sur Windows, Mac, Unix et Linux. Le tout se relie dans la plateforme Pathfinder.

Delinea

Sa base est Secret Server, coffre-fort d'entreprise qui découvre et protège les comptes d'administrateur, root, de service, d'application et de machine, avec gestion des sessions. Delinea annonce le rachat de StrongDM. Secret Server s'essaie gratuitement pendant 30 jours.

WALLIX PAM

WALLIX se présente comme l'alternative européenne de confiance. Son PAM centralise comptes, sessions et identifiants : sessions enregistrées, coffre-fort avec renouvellement automatique, accès limités dans le temps, MFA et retrait des droits d'administration locaux. Sans agent, en IT comme en OT. Essai gratuit et démonstration.

ManageEngine PAM360

Contrôle des identifiants sur les postes, le cloud, les bases de données, les applications et le réseau, élévation juste-à-temps, droits cloud (CIEM) et privilèges des postes. Abonnement annuel selon les administrateurs et les clés, sans limite d'utilisateurs : 7 995 $ par an pour 10 administrateurs et 25 clés. Essai de 30 jours.

Segura

Ex-senhasegura, éditeur basé à São Paulo. Comptes et sessions à privilèges, élévation sur les postes, accès aux consoles cloud, secrets DevOps et certificats, en déploiement sur site, cloud ou hybride. Vendu en SaaS ou en abonnement auto-hébergé, sur devis.

cyberelements Cleanroom

Le PAM de Systancia, qui se dit éditeur souverain. Sans agent, il injecte le mot de passe au bon moment, trace tous les accès, enregistre les sessions en vidéo avec recherche, autorise l'intervention en direct et le partage à quatre yeux, sur RDP, SSH, VNC et web, en IT comme en OT. Démonstration sur demande.

Fudo Enterprise

Édité à Varsovie par Fudo Security. Déploiement sans agent, analyse comportementale par IA, sessions RDP, SSH, web et OT, accès des tiers avec Fudo ShareAccess ; l'éditeur dit garder les journaux d'accès dans la juridiction européenne. Essai gratuit de 30 jours.

Seul ManageEngine affiche un prix, calculé sur le nombre d'administrateurs et de clés.

Choisir un outil PAM et préparer le déploiement : cas d'usage, conformité NIS2, cloud et identités machines

• Partir du cas d'usage. Des prestataires à faire entrer sans VPN : regardez l'accès distant (WALLIX Remote Access, BeyondTrust Privileged Remote Access, Fudo ShareAccess). Des droits d'administrateur sur les postes : l'élévation des privilèges. Des serveurs et des équipements industriels : le relais de sessions sans agent.

• Vérifier les environnements. RDP, SSH, web, bases de données, consoles AWS, Azure ou Google Cloud, Kubernetes, et OT s'il y a des automates.

• Compter les identités machines. Comptes de service, secrets des chaînes DevOps et agents d'IA entrent dans le périmètre chez Idira, Delinea, Segura et PAM360.

• Penser conformité. WALLIX classe ses cas d'usage par réglementation (DORA, NIS2, IEC 62443) et ManageEngine publie un livre blanc sur NIS2 ; l'enregistrement des sessions sert de preuve lors d'un audit.

• Déployer par étapes. Inventorier les comptes à privilèges, les mettre au coffre, faire passer les sessions par le relais, puis retirer les droits permanents.

PAM ou IAM : la différence avec la gestion des identités

La gestion des identités et des accès ouvre à chaque salarié ses applications de tous les jours, par annuaire, SSO et MFA. Le PAM ne concerne qu'une petite part des comptes, les plus puissants, et va plus loin : il garde leurs mots de passe, relaie et enregistre leurs sessions. Les deux se complètent. Plusieurs plateformes IAM intègrent une brique PAM (Okta, JumpCloud, Entra ID P2, authentik Enterprise), tandis que WALLIX et ManageEngine vendent aussi des briques IAM.