“我们密码都改了、都加密了为什么等保还是过不了”——因为合规要的不只是密码安全更是凭据被谁、在何时、以什么方式使用要说得清。一、合规对凭据到底要求什么翻一遍主流合规框架对凭据的要求高度一致集中在三点身份鉴别谁在用凭据要可识别多因素认证、资源级授权访问控制凭据使用要遵循最小权限且有时长限制安全审计所有凭据的访问、调用、轮换行为要有完整日志。等保 2.0 明确要求敏感凭据访问记录可审计PCI DSS 对持卡人数据环境的凭据访问有逐条日志要求ISO 27001 的 A.9 访问控制也强调使用记录。一句话光藏着不够还得说得清。二、为什么很多企业拿不出审计证据常见原因有三凭据散落密码在 Excel、配置文件、运维文档里根本没有一个统一入口能记录谁取了什么无访问日志即便有 vault如果只存不放、不记录调用审计时还是空日志不联通有日志但散在各系统监管来查时要人工拼来不及也拼不齐。三、凭据审计的三个落点要让审计自动发生凭据系统至少要提供1. 全链路操作日志每一次凭据的访问、调用、轮换都留痕操作人、时间、目标凭据、来源 IP、结果。这是审计的最低基线。2. 标准协议对接 SIEM日志不能躺在产品里。通过 Syslog 等协议实时推送至企业 SIEM 平台安全团队才能在同一看板关联分析——比如某账号凌晨被取用 随后有大批量导出这种异常才有机会被发现。3. 审计报告可一键导出监管检查要的是报告不是原始日志。系统应支持按合规项导出审计轨迹把翻日志变成交报告。以安当 SMS 的合规能力为例它记录所有凭据访问、调用、轮换行为支持 Syslog 协议对接 SIEM并提供审计报告导出从三个层面帮助满足等保 2.0、PCI DSS 等要求——把合规从应付检查变成持续运行的安全闭环。四、一个关键提醒审计日志本身也要保护审计日志若可被随意篡改其证据价值归零。成熟的方案会把日志完整性纳入考量如只读存储、防篡改并在权限上把看日志的人和用凭据的人分开。否则审计形同虚设。方案参考安当 SMS 凭据管理系统将高合规性作为核心能力依托通过国家密码局检测认证的 KSP 密钥管理底座提供全链路审计、Syslog 对接 SIEM 与审计报告导出。对需要满足等保 2.0、PCI DSS 且长期被凭据审计拿不出证据困扰的企业可作为合规落地参考。注本文为技术解析具体接入方式与兼容性请以官方文档 doc.andang.cn 为准。