Zu den privilegierten Konten zählen Domain-Administratoren, root-Zugänge, Datenbank-Administratoren, Notfall-Konten und die Fernwartungszugänge externer Dienstleister. Wer sie übernimmt, kann Sicherheitsmechanismen abschalten und sich unbemerkt im Netz bewegen.
PAM setzt dafür eigene Werkzeuge ein: einen Passwort-Tresor, die Aufzeichnung privilegierter Sitzungen, zeitlich begrenzte Rechte (Just-in-Time) und die konsequente Durchsetzung von Least Privilege. Es baut auf einem funktionierenden IAM auf.