Devolutions erweitert PAM um Geräteaufnahme und zentrale Softwareverwaltung

Der Verzicht auf lokale Administratorrechte kann unnötige Zugriffe einschränken. IT-Teams benötigen jedoch weiterhin eine praktikable Möglichkeit, die von Beschäftigten genutzte Software zu installieren und zu aktualisieren. Devolutions erweitert seine Plattform um Geräteaufnahme und zentrale Softwareverwaltung, um diese alltäglichen Aufgaben mit den bereits für den privilegierten Zugriff eingesetzten Kontrollen zu verbinden.

Die Funktionen wurden am 9. November angekündigt und bilden die erste Phase der Roadmap des Unternehmens für die Privilegienverwaltung auf Endgeräten. Sie sollen mit bestehenden Systemen für die Verwaltung mobiler Geräte zusammenarbeiten, darunter Microsoft Intune. Mithilfe der von UniGetUI unterstützten Softwareverwaltung können Administratoren Pakete genehmigen, installieren und aktualisieren, ohne Nutzern lokale Administratorrechte zu gewähren.

Die neuen Funktionen sollen im Dezember 2026 allgemein verfügbar werden. Sie erweitern die Plattform über die Kontrolle darüber hinaus, wer auf ein System zugreifen kann, und ermöglichen es, die auf registrierten Geräten ausgeführte Software zu verwalten. Dabei bleiben Verbindungen, Anmeldedaten und privilegierte Abläufe in einem gemeinsamen Arbeitsbereich gebündelt.

Geräteaufnahme verbindet Zugriffskontrollen mit der Arbeit an Endgeräten

Privilegiertes Zugriffsmanagement und die Softwareverwaltung auf Endgeräten befassen sich mit verwandten Problemen. PAM kontrolliert den Zugriff auf privilegierte Konten und Sitzungen; die Verwaltung von Endgeräten legt fest, wie Software auf den Geräten installiert und gewartet wird, auf die diese Konten zugreifen.

Devolutions plant, registrierte Geräte in denselben Arbeitsbereich aufzunehmen, den Administratoren für PAM nutzen. Der Ankündigung zufolge lassen sich Geräte aus bestehenden MDM-Lösungen heraus registrieren; Unternehmen müssen ihre bisherigen Investitionen in die Geräteverwaltung also nicht aufgeben. Microsoft Intune wird ausdrücklich als ein System genannt, das die neue Funktionalität ergänzen soll.

Ziel ist es, eine berechtigte Softwareanfrage von einer dauerhaften Vergabe von Administratorrechten zu trennen. Für eine genehmigte Installation sollte es nicht nötig sein, Beschäftigten weitreichende Befugnisse für spätere, damit nicht zusammenhängende Änderungen einzuräumen. Durch die Bündelung dieses Ablaufs könnten Administratoren außerdem seltener zwischen verschiedenen Tools für Zugriffsverwaltung und routinemäßige Wartungsarbeiten an Endgeräten wechseln müssen.

In der Ankündigung werden weder die vollständige Liste der unterstützten Geräte noch sämtliche Paketmanager genannt, die in der Unternehmensversion verfügbar sein werden. Diese Details zur Umsetzung werden wichtig sein, wenn Teams beurteilen, wie sich die für Dezember angekündigten Funktionen in ihre bestehende IT-Umgebung einfügen.

UniGetUI vereint mehrere Paketmanager in einer Oberfläche

Die Komponente für die Softwareverwaltung baut auf UniGetUI auf, der Open-Source-Oberfläche von Devolutions für Paketmanager. Das bestehende Produkt bündelt die Suche, Installation, Aktualisierung und Entfernung von Software auf Systemen wie WinGet, Chocolatey, Scoop, Pip, Npm und PowerShell Gallery.

UniGetUI unterstützt außerdem Sammelvorgänge und den Export von Paketlisten zur Verwendung auf einem anderen Gerät. Dieser Hintergrund erklärt die Rolle des Produkts in der Ankündigung: Es bietet eine einheitliche Möglichkeit, Software aus verschiedenen Paketökosystemen zu verwalten. Die geplanten Unternehmensfunktionen ergänzen dies um eine zentrale Genehmigung und Verwaltung registrierter Geräte.

Die bestehende Open-Source-Anwendung ist von dem neuen Unternehmensablauf zu unterscheiden. Die aktuellen Funktionen von UniGetUI liefern technischen Kontext; sie belegen nicht, dass in der ersten zentralen Version jede Paketquelle, jede Option oder jede Bereitstellungsart unterstützt wird.

Begrenzte Rollen schränken die Reichweite von Administratorkonten ein

Die Roadmap für Endgeräte ergänzt jüngste PAM-Erweiterungen, die auf eine feinere Abstufung von Berechtigungen abzielen. Ein Workspace-Administrator kann Nutzer und Plattformeinstellungen verwalten, ohne dadurch automatisch Zugriff auf die Inhalte des Tresors zu erhalten. Eine eigens eingerichtete Auditor-Rolle ermöglicht Sicherheits- und Compliance-Mitarbeitenden, Aktivitätsprotokolle und Sitzungsmetadaten einzusehen, ohne privilegierte Anmeldedaten abzurufen.

Diese Trennung ist für Managed Service Provider nützlich, die in verschiedenen Kundenumgebungen arbeiten, sowie für Organisationen, in denen unterschiedliche Personen die Plattform verwalten, Anmeldedaten verwenden und Aktivitäten überprüfen müssen. Ein weitreichender Administratortitel muss nicht bedeuten, dass damit auch die Befugnis verbunden ist, auf jedes Geheimnis im System zuzugreifen.

Devolutions bündelt außerdem Verbindungseinträge und PAM-Anmeldedaten in einem Tresor. So soll eine privilegierte Anmeldeinformation mit der Verbindung verknüpft bleiben, für die sie verwendet wird; für den gesamten Ablauf gilt dabei eine einheitliche Berechtigungsstruktur.

„PAM war bislang auf große Sicherheitsteams mit hohen Budgets und monatelangem Vorlauf ausgelegt, aber so arbeiten IT-Teams nicht“, sagte Devolutions-CEO David Hervieux laut Ankündigung. Das Unternehmen positioniert seine Plattform als Lösung mit Kontrollen, die Systemadministratoren und kleinere IT-Teams bei ihrer täglichen Arbeit nutzen können.

Zeitlich begrenzter Zugriff, Rotation und Sitzungsnachweise

Das PAM-Angebot von Devolutions integriert privilegierte Abläufe mit dem Remote Desktop Manager und einem selbst gehosteten oder cloudbasierten Arbeitsbereich. Die Website beschreibt die Erkennung von Konten, verstärkte Authentifizierung, Just-in-Time-Berechtigungserweiterungen und Sitzungsüberwachung als Bestandteile dieses Ansatzes.

In der Veröffentlichung können Nutzer zeitlich begrenzte Ausleihen von Zugangsdaten anfordern; eine Mehr-Faktor-Authentifizierung ist verfügbar. Prüfer können Anfragen über die Weboberfläche, die mobile Anwendung oder den Remote Desktop Manager genehmigen, ablehnen oder ändern. Nach Ablauf einer Ausleihe werden die Passwörter automatisch geändert und Just-in-Time-Berechtigungen entzogen.

Genehmigte Verlängerungen können Arbeiten ermöglichen, die über den ursprünglich vorgesehenen Zeitraum hinausgehen. Wiederverwendbare Just-in-Time-Konten bewahren außerdem die mit Postfächern, Lizenzen und dem Verlauf verknüpfte Identität, während zeitliche Begrenzungen und Genehmigungskontrollen den Zugriff regeln. Aufzeichnungen privilegierter Sitzungen, Aktivitätsprotokolle und vordefinierte Berichte liefern Belege für spätere Prüfungen.

Diese Funktionen greifen an unterschiedlichen Punkten im Zugriffslebenszyklus: Genehmigung vor dem Zugriff, Begrenzungen während der Nutzung und Änderungen an Zugangsdaten oder Berechtigungen im Anschluss. Wie wirksam sie sind, hängt von den Richtlinien ab, die eine Organisation konfiguriert, und von den Systemen, die sie einbezieht.

Einführung im Dezember und aktuelle PAM-Preise

Devolutions plant, die neuen Funktionen für die Geräteaufnahme und Softwareverwaltung auf der Microsoft Ignite vom 17. bis 20. November vorzustellen. Ihre allgemeine Verfügbarkeit wird für Dezember 2026 erwartet. Das bestehende PAM-Modul ist bereits verfügbar und kann 14 Tage lang getestet werden.

Laut der Ankündigung kostet das Paket Privileged Access Management 650 US-Dollar pro benanntem Nutzer und Jahr. Es wird jährlich abgerechnet und umfasst den Standardsupport. Bestehende Kunden können das Modul zu ihrer aktuellen Arbeitsumgebung hinzufügen; bei Neukunden ist die Arbeitsumgebung, in der es ausgeführt wird, im Paket enthalten. Für die künftig verfügbaren Endgerätefunktionen nennt die Veröffentlichung keinen separaten Preis.

Die Entwicklung zielt auf eine engere Verknüpfung von Zugriffsverwaltung und alltäglichen Aufgaben an Endgeräten ab. Durch die Kombination kontrollierter Zugangsdaten, Remoteverbindungen und genehmigter Softwarevorgänge versucht Devolutions, die konsequente Umsetzung des Prinzips der minimalen Rechtevergabe auch nach der Ausarbeitung der ursprünglichen Sicherheitsrichtlinie zu erleichtern.