Der ISW PAM JIT Manager vergibt lokale Administratorrechte und individuelle Rechte auf Zeit. Niemand ist dauerhaft Administrator; wer die Rechte braucht, bekommt sie für eine begrenzte Dauer und verliert sie danach automatisch wieder — nachvollziehbar, mit Ticketnummer und in einem manipulationsgeschützten Protokoll.
“Der Admin von gestern ist das Risiko von heute.”
Zielgruppe
Windows-Administratoren und MSPs. Sie richten das Werkzeug ein und arbeiten täglich damit. Vorausgesetzt werden Kenntnisse in Active Directory (Organisationseinheiten, Gruppen, Gruppenrichtlinien) und der Umgang mit WinRM.
IT-Verantwortliche und Auditoren. Für sie sind vor allem die Kapitel „Berichte“, „Audit-Log“ und „Kein Genehmigungs-Workflow“ gedacht. Dort steht nicht nur, was das Werkzeug leistet, sondern auch, was es NICHT absichert.
Nicht vorausgesetzt werden Kenntnisse zum PAM Optional Feature oder zu Kerberos-Interna. Beides wird an der Stelle erklärt, an der es gebraucht wird.
Hauptmerkmale
Zeitlich begrenzte Adminrechte. Je Computer eine AD-Admingruppe, einmalig per WinRM in die lokale Administratoren-Gruppe eingetragen. Die Rechtevergabe passiert danach ausschließlich im Verzeichnis — auf dem Computer selbst muss nichts mehr geändert werden.
Ablauf durch das Verzeichnis. Mit aktiviertem PAM Optional Feature (Forest Functional Level 2016+) entfernt Active Directory die Mitgliedschaft selbst und kürzt zusätzlich die Lebensdauer neu ausgestellter Kerberos-Tickets. Ohne PAM übernimmt das die Ablauf-Engine der Anwendung.
Geplante Vergaben. Vergaben lassen sich für ein späteres Zeitfenster vormerken — etwa für ein Wartungsfenster am Wochenende. Bis zum Beginn ist im Verzeichnis nichts geschrieben.
Nachweis statt Genehmigung. Ticketnummer und Begründung sind Pflichtfelder. Jeder Vorgang landet in einem Audit-Protokoll, das über eine SHA-256-Hash-Kette gegen nachträgliche Änderungen abgesichert ist.
Abgleich und Ausnahmen. Ein regelmäßiger Abgleich prüft, ob die Admingruppe auf den Computern noch steht und ob dort fremde lokale Administratoren sitzen, die die Zeitbegrenzung umgehen.
Individuelle Gruppen. Auch Anwendungs- und Rollengruppen ohne Computerbezug lassen sich zeitlich begrenzt vergeben — mit denselben Regeln und demselben Nachweis.
Berichte. Compliance-Nachweis, Vergabe-Historie, aktive und geplante Vergaben, Abdeckung der Computer und das Audit-Protokoll — jeweils als PDF, HTML oder Word, wahlweise per E-Mail.
Betrieb im Team. SQLite für den Einzelplatz, SQL Server für mehrere Techniker. Passwörter werden mit AES-256 verschlüsselt abgelegt.
Lizenzierung
Gute Software muss nicht teuer sein.
Einmalig 399,00 € (inkl. 19% MwSt.)
- Standortlizenz ohne Benutzerbegrenzung
- Keine Folgekosten, keine Abonnements
- Kostenlose Updates innerhalb der Hauptversion
Produktinformation PAM JIT Manager
Send download link to:
Jede Vergabe mit Ticket. Jeder Ablauf mit Beweis.
Admin Rechte erteilen
Das Formular ist in drei Spalten geteilt: links wer und wo, in der Mitte wie lange und warum, rechts die laufende Prüfung.
Geplante Vergaben
Eine Berechtigung muss nicht sofort beginnen. Sie lässt sich für ein Zeitfenster in der Zukunft vormerken — für das Wartungsfenster am Samstag um 6 Uhr, für den Change am Montagmorgen, für den Dienstleister, der um 14 Uhr kommt.
Aktive Berechtigungen
Alles, was gerade läuft: wer, wo, wie lange noch, mit welchem Ticket und auf wessen Anordnung.
Die Restlaufzeit
Grün: läuft normal. Gelb: läuft demnächst ab. Rot: die Zeit ist bereits abgelaufen, die Mitgliedschaft aber noch nicht entfernt.
Computer-Gruppen
Pro Computer eine AD-Gruppe, die in der lokalen Administratoren-Gruppe dieses Computers steht. Das ist die Grundlage für alles Weitere — ohne sie läuft jede Vergabe ins Leere.
Das Detailfenster
Doppelklick auf einen Computer in der Liste. Drei Spalten: links die Stammdaten und die Rollen zum Ankreuzen, in der Mitte die lokalen Administratoren, rechts die Einzelausnahmen.
Individuelle Gruppen & Berechtigungen
Nicht jede privilegierte Mitgliedschaft hängt an einem Computer. Eine Anwendungs- oder Rollengruppe — etwa „App-SAP-Admins“ für die Dauer eines Changes — soll genauso zeitlich begrenzt vergeben werden.
Technisch ist es derselbe Weg wie bei den Computergruppen, nur ohne WinRM: Es gibt keine lokale Gruppe, in die etwas eingetragen werden müsste. Die Vergabe läuft ausschließlich im Verzeichnis.
Teil der ISW-Tools Suite von IT-Service Walter
PAM JIT Manager – „Rechte, die von selbst wieder gehen.”
© 2026 IT-Service Walter | Alle Rechte vorbehalten