Devolutions laajentaa PAM-ratkaisua laitteiden rekisteröinnillä ja ohjelmistojen keskitetyllä hallinnalla

Paikallisten järjestelmänvalvojan oikeuksien poistaminen voi vähentää tarpeettomia käyttöoikeuksia, mutta IT-tiimit tarvitsevat silti käytännöllisen tavan asentaa ja päivittää työntekijöiden käyttämiä ohjelmistoja. Devolutions laajentaa alustaansa laitteiden rekisteröinnillä ja ohjelmistojen keskitetyllä hallinnalla tavoitteenaan yhdistää tämä päivittäinen työ jo käytössä oleviin etuoikeutettujen käyttöoikeuksien hallinnan kontrolleihin.

Ominaisuuksista ilmoitettiin 9. marraskuuta, ja ne ovat yhtiön päätelaitteiden käyttöoikeuksien hallinnan etenemissuunnitelman ensimmäinen vaihe. Ne on suunniteltu toimimaan nykyisten mobiililaitteiden hallintajärjestelmien, kuten Microsoft Intunen, rinnalla. UniGetUI-pohjaisen ohjelmistohallinnan avulla järjestelmänvalvojat voivat hyväksyä, asentaa ja päivittää ohjelmistopaketteja antamatta käyttäjille paikallisia järjestelmänvalvojan oikeuksia.

Uusien ominaisuuksien odotetaan tulevan yleisesti saataville joulukuussa 2026. Ne laajentavat alustan toimintaa sen hallinnasta, kuka voi käyttää järjestelmää, siihen, että alustalla voidaan hallita rekisteröidyillä laitteilla käytettäviä ohjelmistoja. Yhteydet, tunnistetiedot ja etuoikeutettuihin käyttöoikeuksiin liittyvät työnkulut pysyvät samalla yhteisessä työtilassa.

Laitteiden rekisteröinti yhdistää käyttöoikeuksien hallinnan päätelaitteiden ylläpitoon

Etuoikeutettujen käyttöoikeuksien hallinta ja päätelaitteiden ohjelmistohallinta ratkaisevat toisiinsa liittyviä ongelmia. PAM hallitsee tehokkaiden tilien ja istuntojen käyttöä, kun taas päätelaitteiden hallintakontrolleilla määritetään, miten ohjelmistoja asennetaan ja ylläpidetään koneilla, joihin kyseisillä tileillä päästään.

Devolutions suunnittelee tuovansa rekisteröidyt laitteet samaan työtilaan, jota järjestelmänvalvojat käyttävät PAM-hallintaan. Yhtiön ilmoituksen mukaan laitteet rekisteröidään nykyisistä mobiililaitteiden hallintaratkaisuista, joten organisaatioiden ei tarvitse luopua niihin jo tekemistään laitehallinnan investoinneista. Ilmoituksessa mainitaan erikseen Microsoft Intune järjestelmänä, jota uusi toiminnallisuus on suunniteltu täydentämään.

Käytännön tavoitteena on erottaa perusteltu ohjelmistopyyntö pysyvästä järjestelmänvalvojan oikeuksien myöntämisestä. Hyväksytyn asennuksen ei pitäisi edellyttää työntekijälle laajojen oikeuksien antamista muihin, asiaan liittymättömiin muutoksiin. Työnkulun keskittäminen voisi myös vähentää tarvetta siirtyä eri työkalujen välillä käyttöoikeuksien hallintaa ja päätelaitteiden tavanomaista ylläpitoa varten.

Ilmoituksessa ei määritellä kattavasti tuettujen laitteiden valikoimaa eikä kaikkia yritysversiossa käytettävissä olevia paketinhallintaohjelmia. Nämä toteutukseen liittyvät yksityiskohdat ovat tärkeitä, kun tiimit arvioivat, miten joulukuussa julkaistavat ominaisuudet sopivat niiden nykyiseen laitekantaansa ja järjestelmiinsä.

UniGetUI tuo useita paketinhallintaohjelmia samaan käyttöliittymään

Ohjelmistohallinnan osa perustuu UniGetUI:hin, Devolutionsin avoimen lähdekoodin käyttöliittymään paketinhallintaohjelmille. Nykyinen tuote kokoaa yhteen ohjelmistojen etsimisen, asentamisen, päivittämisen ja poistamisen järjestelmistä, kuten WinGetistä, Chocolateysta, Scoopista, Pipistä, Npm:stä ja PowerShell Gallerysta.

UniGetUI tukee myös joukkotoimintoja ja pakettiluetteloiden viemistä käytettäväksi toisella koneella. Tämä tausta auttaa ymmärtämään sen roolia ilmoituksessa: se tarjoaa yhtenäisen tavan hallita eri pakettiekosysteemeissä jaeltavia ohjelmistoja, ja tulevat yritysominaisuudet lisäävät rekisteröityjen laitteiden ympärille keskitetyn hyväksynnän ja hallinnan.

Nykyinen avoimen lähdekoodin sovellus ja uusi yrityskäyttöön tarkoitettu työnkulku on syytä pitää erillään toisistaan. UniGetUI:n nykyiset ominaisuudet tarjoavat teknistä taustatietoa, mutta niiden perusteella ei voi päätellä, että kaikki pakettien lähteet, asetukset tai käyttöönottomallit olisivat tuettuja ensimmäisessä keskitetyssä julkaisussa.

Rajatut roolit kaventavat järjestelmänvalvojan tilien toimintavaltuuksia

Päätelaitteiden hallinnan etenemissuunnitelman rinnalla on julkaistu viimeaikaisia PAM-parannuksia, joiden tavoitteena on määritellä käyttöoikeudet aiempaa tarkemmin. Työtilan ylläpitäjä voi hallita käyttäjiä ja alustan asetuksia saamatta automaattisesti pääsyä holvin sisältöön. Erillisen tarkastajan roolin ansiosta tietoturva- ja vaatimustenmukaisuustiimit voivat tarkastella toimintalokeja ja istuntojen metatietoja hakematta etuoikeutettujen tilien tunnistetietoja.

Tällainen erottelu on hyödyllinen hallinnoitujen palvelujen tarjoajille, jotka työskentelevät useiden asiakkaiden ympäristöissä, sekä organisaatioille, joissa eri henkilöt vastaavat alustan hallinnasta, tunnistetietojen käytöstä ja toiminnan tarkastelusta. Laaja järjestelmänvalvojan nimike ei välttämättä tarkoita valtuuksia kaikkiin järjestelmään tallennettuihin salaisuuksiin.

Devolutions yhdistää samaan holviin myös yhteysmerkinnät ja PAM-tunnistetiedot. Tavoitteena on liittää etuoikeutetun tilin tunnistetiedot sitä käyttävään yhteyteen ja hallita työnkulkua yhdellä käyttöoikeusrakenteella.

”PAM-ratkaisuja on perinteisesti kehitetty suurille tietoturvatiimeille, joilla on suuret budjetit ja kuukausia aikaa, mutta IT-tiimit eivät toimi niin”, Devolutionsin toimitusjohtaja David Hervieux sanoi yhtiön ilmoituksessa. Yhtiö asemoi alustansa tarjoavan kontrolleja, joita järjestelmänvalvojat ja pienemmät IT-tiimit voivat käyttää päivittäisessä työssään.

Aikarajattu käyttöoikeus, tunnistetietojen kierrätys ja istunnoista saatava näyttö

Devolutionsin PAM-ratkaisu yhdistää etuoikeutettuihin käyttöoikeuksiin liittyvät työnkulut Remote Desktop Manageriin sekä joko itse ylläpidettyyn tai pilvessä sijaitsevaan työtilaan. Yhtiön verkkosivuston mukaan toimintamalliin kuuluvat tilien etsiminen, vahvempi tunnistautuminen, oikeuksien korottaminen juuri tarvittaessa ja istuntojen valvonta.

Julkaisussa käyttäjät voivat pyytää tunnistetietojen määräaikaista käyttöä, johon voidaan liittää monivaiheinen tunnistautuminen. Tarkastajat voivat hyväksyä tai hylätä pyynnöt tai muokata niitä verkkokäyttöliittymän, mobiilisovelluksen tai Remote Desktop Managerin kautta. Käyttöajan päättyessä salasanat vaihdetaan automaattisesti ja juuri oikeaan aikaan myönnetyt käyttöoikeudet poistetaan.

Hyväksytyillä jatkoajoilla voidaan mahdollistaa työ, joka kestää alkuperäistä aikarajaa pidempään. Uudelleenkäytettävät, juuri oikeaan aikaan luodut tilit säilyttävät myös postilaatikoihin, lisensseihin ja historiaan liittyvän identiteetin, ja käyttöoikeuksia hallitaan aikarajoilla ja hyväksyntäkäytännöillä. Etuoikeutettujen istuntojen tallenteet, toimintalokit ja ennalta määritetyt raportit tarjoavat aineistoa myöhempää tarkastelua varten.

Nämä ominaisuudet liittyvät käyttöoikeuksien elinkaaren eri vaiheisiin: hyväksyntään ennen käyttöoikeuden saamista, käytön aikaisiin rajoituksiin sekä tunnistetietojen tai käyttöoikeuksien muutoksiin käytön jälkeen. Niiden tehokkuus riippuu organisaation määrittämistä käytännöistä ja järjestelmistä, jotka se ottaa mukaan hallinnan piiriin.

Joulukuun käyttöönotto ja PAM-palvelun nykyinen hinnoittelu

Devolutions aikoo esitellä uudet laitteiden rekisteröinti- ja ohjelmistonhallintaominaisuudet Microsoft Ignitessa 17.–20. marraskuuta ennen niiden odotettua yleistä saatavuutta joulukuussa 2026. Nykyinen PAM-moduuli on jo saatavilla, ja siihen sisältyy 14 päivän kokeilujakso.

Julkistuksen mukaan Privileged Access Management -paketti maksaa 650 dollaria nimettyä käyttäjää kohden vuodessa, ja laskutus tapahtuu vuosittain. Hintaan sisältyy vakiotuki. Nykyiset asiakkaat voivat lisätä moduulin nykyiseen työtilaansa; uusille asiakkaille pakettiin sisältyy työtila, jossa moduuli toimii. Julkistuksessa ei ilmoitettu erillistä hintaa myöhemmin julkaistaville päätelaitetoiminnoille.

Tavoitteena on tiivistää käyttöoikeuksien hallinnan ja päivittäisen päätelaitetyön yhteyttä. Yhdistämällä hallitut tunnistetiedot, etäyhteydet ja hyväksytyt ohjelmistotoiminnot Devolutions pyrkii helpottamaan vähimpien käyttöoikeuksien periaatteen ylläpitämistä senkin jälkeen, kun alkuperäinen tietoturvakäytäntö on laadittu.