Wer ein Administratorpasswort braucht, bekommt es aus dem Tresor, nicht aus einer Datei oder dem Gedächtnis. Der Tresor protokolliert, wer wann welchen Zugang angefordert hat, und kann das Geheimnis nach der Nutzung austauschen. In vielen Umgebungen sieht der Mensch das Passwort gar nicht mehr: Die Sitzung wird direkt aus dem Tresor heraus aufgebaut.
Das löst zwei Probleme auf einmal. Geteilte Administratorkonten lassen sich wieder einer Person zuordnen, weil jede Anforderung dokumentiert ist. Und wer das Unternehmen verlässt, nimmt kein notiertes Passwort mit, weil er es nie dauerhaft besaß.
Der Tresor ist ein Werkzeug, nicht die Disziplin: Privileged Access Management umfasst zusätzlich die Frage, wer einen Zugang überhaupt anfordern darf und wie lange er gilt (Just-in-Time). Und weil an dieser einen Stelle sehr viel Zugriff hängt, gehört der Tresor selbst zu den am besten abzusichernden Systemen im Unternehmen.