在多数安全事件的复盘报告里，攻击者并没有攻破防火墙，他们只是拿到了一个还没被轮换的运维口令。这句话听起来像老生常谈，但数据一直在重复验证它。

一、两组值得反复引用的数据

Verizon《2024 年数据泄露调查报告》对全球数千起安全事件做了归因分析，"使用失窃凭证"连续多年位居初始访问途径的前列；报告同时指出，约三分之二的数据泄露事件中人为因素成为关键变量。IBM《2024 年数据泄露成本报告》给出了更直接的财务坐标：全球数据泄露的平均损失升至 488 万美元，较上一年度增长约 10%，而部署了自动化安全工具与零信任架构的组织，平均损失明显低于同行业水平。

两组合计指向同一个判断——凭证管理不是运维细节，而是风险敞口的入口。

二、口令为什么会"泛滥"

在中大型组织的 IT 环境里，账号数量的增速远超人员增速：业务系统后台账号、数据库直连账号、堡垒机的被管资产凭证、云平台 AK/SK、中间件与网络设备管理口令、脚本中硬编码的 API Key……这些凭证的典型管理方式，是加密 Excel、个人记事本和员工的浏览器自动填充。

  • 共享账号无法追溯到人，"谁在什么时间执行了高危操作"变成悬案；
  • 人员离职后，口令清单需要人工逐条修改，遗漏是常态；
  • 同一口令跨系统复用，一处泄露即全线失守；
  • 审计时拿不出完整的凭证使用记录，等保测评与合规检查难以过关。

三、企业密码管理软件解决的核心问题

把密码管理软件理解为"带加密的共享表格"，是选型阶段最常见的误判。成熟的企业级产品通常由四层能力构成。

可信存储。凭证以密文形式集中存放在保险库中，落盘采用国密 SM4 等分组算法加密，加密密钥由独立的密钥管理系统托管，管理员与运维人员均无法从数据库中直接读出口令明文。

身份与授权。访问保险库本身先要经过单点登录与双因素认证的强身份核验，再按最小权限原则，依角色、资产、时段下发取用权，做到可申请、可审批、可回收。

自动化轮换。凭证按策略定期修改，密码变更与各业务系统的同步由程序完成，替代人工改密这一高风险动作，也顺带解决了口令复用的历史欠账。

审计与留痕。每一次取用、复制与会话操作都留底，与堡垒机的运维行为日志形成互补，构成凭证全生命周期的证据链。

四、合规是基线，不是终点

《网络安全法》《数据安全法》与《商用密码管理条例》对关键信息基础设施运营者提出了明确的密码应用要求，等保 2.0 在身份鉴别、访问控制、安全审计等控制项中对口令强度、更换周期和日志留存均有具体规定。密码管理软件的意义在于，它把这些条款从纸面转成可执行、可验证的技术流程：强度策略由系统强制，轮换周期由系统触发，审计记录由系统生成。

五、选型时的四个务实问题

  • 密钥主权在谁手里：是否支持密钥客户自持，是否兼容 SM2/SM3/SM4 等国密算法，避免被单一厂商锁定；
  • 集成成本有多高：能否与现有 AD/LDAP、堡垒机、CMDB、工单流程对接，直接决定上线周期；
  • 审计粒度有多细：只记录"谁取走了口令"远远不够，还需要覆盖会话与操作指令级别；
  • 演进路线是否收敛：账号管理、密钥管理、证书管理能否在同一平台内逐步整合，避免三年后推倒重来。

口令是最古老的身份凭证形态，也是最难退场的一种。与其要求每个人记住几十条高强度密码，不如让凭证在受控边界内自动流转、按需授权、用完即收。对多数组织而言，这可能是当下投入产出比最高的一次安全建设。