Devolutions udvider PAM med enhedstilmelding og centraliseret softwareadministration

Fjernelse af lokale administratorrettigheder kan begrænse unødvendig adgang, men it-teams har stadig brug for en praktisk måde at installere og opdatere den software, medarbejderne bruger. Devolutions udvider sin platform med enhedstilmelding og centraliseret softwareadministration med det formål at forbinde dette daglige arbejde med de kontroller, der allerede bruges til privilegeret adgang.

Funktionerne blev annonceret den 9. november og udgør første fase af virksomhedens køreplan for privilegieadministration på slutpunkter. De er designet til at fungere sammen med eksisterende systemer til administration af mobile enheder, herunder Microsoft Intune, og bruger softwareadministration drevet af UniGetUI, så administratorer kan godkende, installere og opdatere pakker uden at give brugerne lokale administratorrettigheder.

De nye funktioner forventes at blive alment tilgængelige i december 2026. De udvider platformens fokus fra at kontrollere, hvem der kan få adgang til et system, til også at omfatte styring af den software, der kører på tilmeldte maskiner, samtidig med at forbindelser, legitimationsoplysninger og privilegerede arbejdsgange samles i et fælles arbejdsområde.

Enhedstilmelding forbinder adgangskontroller med arbejdet på slutpunkter

Administration af privilegeret adgang og softwareadministration på slutpunkter løser beslægtede problemer. PAM styrer adgangen til privilegerede konti og sessioner, mens kontroller på slutpunkterne bestemmer, hvordan software installeres og vedligeholdes på de maskiner, som kontiene giver adgang til.

Devolutions planlægger at samle tilmeldte enheder i det samme arbejdsområde, som administratorer bruger til PAM. Ifølge annonceringen kan enheder tilmeldes fra eksisterende MDM-løsninger, så organisationer ikke behøver at opgive deres investeringer i enhedsadministration. Microsoft Intune nævnes specifikt som et system, den nye funktionalitet er udviklet til at supplere.

Det praktiske mål er at adskille en legitim softwareanmodning fra en permanent tildeling af administratorrettigheder. En godkendt installation bør ikke kræve, at en medarbejder får vidtrækkende beføjelser til efterfølgende at foretage uvedkommende ændringer. En centralisering af arbejdsgangen kan også mindske behovet for, at administratorer skifter mellem separate værktøjer til adgangsstyring og almindelig vedligeholdelse af slutpunkter.

Annonceringen specificerer ikke den fulde liste over understøttede enheder eller alle de pakkehåndteringsværktøjer, der vil være tilgængelige i erhvervsversionen. Disse implementeringsdetaljer får betydning, når teams vurderer, hvordan funktionerne, der lanceres i december, passer ind i deres eksisterende it-miljø.

UniGetUI samler flere pakkehåndteringsværktøjer i én grænseflade

Softwareadministrationskomponenten bygger på UniGetUI, Devolutions’ open source-grænseflade til pakkehåndteringsværktøjer. Det eksisterende produkt samler søgning efter, installation, opdatering og fjernelse af software på tværs af systemer som WinGet, Chocolatey, Scoop, Pip, Npm og PowerShell Gallery.

UniGetUI understøtter også massehandlinger og eksport af pakkelister til brug på en anden maskine. Denne baggrund er med til at forklare produktets rolle i annonceringen: Det giver en fælles måde at håndtere software, der distribueres gennem forskellige pakkeøkosystemer, mens de kommende erhvervsfunktioner tilføjer central godkendelse og administration af tilmeldte enheder.

Den eksisterende open source-applikation skal skelnes fra den nye arbejdsgang til erhvervsbrug. UniGetUIs nuværende funktioner giver en teknisk kontekst, men er ikke ensbetydende med, at alle pakkekilder, valgmuligheder eller implementeringsmønstre vil blive understøttet i den første centraliserede version.

Afgrænsede roller begrænser administratorers adgang

Køreplanen for slutpunkter føjer sig til de seneste PAM-forbedringer, der skal gøre privilegier mere finmasket afgrænsede. En arbejdsområdeadministrator kan administrere brugere og platformindstillinger uden automatisk at få adgang til indholdet i sikkerhedsboksen. En særskilt revisorrolle giver medarbejdere inden for sikkerhed og compliance mulighed for at gennemgå aktivitetslogfiler og sessionsmetadata uden at hente privilegerede legitimationsoplysninger.

Denne adskillelse er nyttig for administrerede tjenesteudbydere, der arbejder på tværs af kundemiljøer, og for organisationer, hvor forskellige personer skal administrere platformen, bruge legitimationsoplysninger og gennemgå aktiviteter. En bred administratortitel behøver ikke at indebære adgang til alle hemmeligheder i systemet.

Devolutions samler også forbindelsesposter og PAM-legitimationsoplysninger i én sikkerhedsboks. Målet er at knytte en privilegeret legitimationsoplysning til den forbindelse, den bruges til, så én tilladelsesstruktur styrer hele arbejdsgangen.

»PAM har historisk set været udviklet til store sikkerhedsteams med store budgetter og måneder til rådighed, men sådan arbejder it-teams ikke,« sagde Devolutions’ administrerende direktør, David Hervieux, i annonceringen. Virksomheden positionerer sin platform som en løsning med kontroller, der kan bruges i det daglige arbejde af systemadministratorer og mindre it-teams.

Tidsbegrænset adgang, adgangskoderotation og sessionsdokumentation

Devolutions’ PAM-tilbud integrerer privilegerede arbejdsgange med Remote Desktop Manager og et arbejdsområde, der enten er selvhostet eller ligger i skyen. På virksomhedens websted beskrives kontoopdagelse, trinvis autentificering, tidsbegrænset rettighedsforhøjelse og sessionsovervågning som dele af denne tilgang.

I denne version kan brugerne anmode om tidsbegrænset udlån af legitimationsoplysninger, og multifaktorautentificering er tilgængelig. Godkendere kan godkende, afvise eller ændre anmodninger via webgrænsefladen, mobilappen eller Remote Desktop Manager. Når udlånet udløber, ændres adgangskoderne automatisk, og just-in-time-tilladelserne fjernes.

Godkendte forlængelser kan imødekomme arbejde, der varer længere end den oprindelige tidsramme. Genbrugelige just-in-time-konti bevarer også den identitet, der er knyttet til postkasser, licenser og historik, mens tidsbegrænsninger og godkendelseskontroller styrer adgangen. Optagelser af privilegerede sessioner, aktivitetslogge og foruddefinerede rapporter dokumenterer forløbet med henblik på efterfølgende gennemgang.

Disse funktioner dækker forskellige faser i adgangens livscyklus: godkendelse før adgang, begrænsninger under brug og ændringer af legitimationsoplysninger eller tilladelser bagefter. Hvor effektive de er, afhænger af de politikker, en organisation konfigurerer, og de systemer, den inddrager.

Udrulning i december og aktuelle PAM-priser

Devolutions planlægger at demonstrere de nye funktioner til enhedsregistrering og softwareadministration på Microsoft Ignite den 17.–20. november, inden de efter planen bliver almindeligt tilgængelige i december 2026. Det eksisterende PAM-modul er allerede tilgængeligt og kan prøves gratis i 14 dage.

Ifølge meddelelsen koster pakken Privileged Access Management 650 USD pr. navngiven bruger om året, faktureret årligt, og omfatter standardsupport. Eksisterende kunder kan føje modulet til deres nuværende arbejdsområde; for nye kunder omfatter pakken det arbejdsområde, modulet kører i. Meddelelsen angiver ikke en særskilt pris for de kommende funktioner til slutpunkter.

Retningen går mod en tættere sammenkobling af adgangsstyring og det daglige arbejde med slutpunkter. Ved at kombinere kontrollerede legitimationsoplysninger, fjernforbindelser og godkendte softwarehandlinger forsøger Devolutions at gøre det lettere at opretholde princippet om mindst mulige privilegier, efter at den indledende sikkerhedspolitik er udarbejdet.