用途：Infisical PAM 是 Infisical 的独立产品（项目类型 pam，企业版功能），用于代理人员或 AI 智能体对基础设施的特权访问。核心特性是连接方永远看不到凭据：由 Infisical 持有真实凭据并代理连接，每次查询或命令都被记录。
适用边界：若需要人员或智能体在不持有凭据的情况下访问数据库/服务器并留痕，用本技能；若应用需自行获取凭据连接，用 infisical-dynamic-secrets 或 infisical-setup；若需向工作负载发放临时凭据，用 infisical-dynamic-secrets；若需定期轮换已有凭据，用 infisical-secret-rotation；若需密钥审批流，用 infisical-access-control；若需部署 PAM 代理所经的 Gateway，用 infisical-gateway。PAM 与动态密钥的区别：动态密钥把真实凭据交给使用方，适合应用与 CI；PAM 从不交出凭据，由 Infisical 代理会话，适合人员与 AI 智能体，可录制并中途终止。
四个组件：Account（一个数据库、服务器、集群或云账户，保存连接信息与凭据）；Folder（按访问需求对账户分组，权限在此设置）；Account Template（连接时应用的策略：最大会话时长、是否要求填写原因、是否要求 MFA，按类型区分）；Membership（把用户、组或机器身份分配到文件夹或账户上的角色）。规则：模板定义规则，文件夹定义访问。同一文件夹内账户可用不同模板，不同文件夹可共用模板；文件夹成员资格会级联到其中每个账户，仅在例外时直接在账户上分配。文件夹应按“谁需要访问”而非技术类型组织。
角色：Admin（账户、文件夹、会话、成员资格的完全控制）、Connector（发起会话并连接账户）、Auditor（查看审计日志与会话录制）。机器身份可持有相同角色，无人值守的 AI 智能体通常选 Connector。另有产品级角色划分（admin、member）决定谁能创建账户与文件夹。
使用步骤：确认 PAM 适用（连接方不得持有凭据）；确认 Gateway 方案（PAM 通过 Gateway 代理，内部目标需要 Gateway）；按团队而非技术建模文件夹；创建账户并填入连接信息与凭据；选择或创建会话策略模板；在文件夹层级分配成员资格；决定即时访问方式（常驻 Connector 访问，或带审批的访问请求）；确认录制与审计满足要求。
参考文件：references/accounts-and-access.md 涵盖 13 种账户类型、各类型认证选项、文件夹、模板、成员资格、访问请求、发现与依赖；references/sessions-and-agents.md 涵盖会话生命周期与状态、录制、终止、Web 与 CLI 访问、面向 AI 智能体的 agentic access。
原则与限制：绝不把凭据路由给用户，PAM 有意不暴露底层密码；内部目标必须经 Gateway 代理；文件夹即权限边界，能访问文件夹即可访问其中所有账户；录制是实时的，会话进行中即可查看，管理员可中途终止；生产模板应要求填写原因并启用 MFA；AI 智能体应使用 agentic access，命令为 infisical pam agentic access -- <agent>，不要把连接字符串放进智能体环境变量；会话 TTL 是上限而非目标，应设为能完成实际工作的最短时长。