Devolutions étend la gestion des accès privilégiés (PAM) à l’inscription des appareils et à la gestion centralisée des logiciels

La suppression des droits d’administrateur local peut réduire les accès inutiles, mais les équipes informatiques ont toujours besoin d’un moyen pratique pour installer et mettre à jour les logiciels utilisés par les employés. Devolutions enrichit sa plateforme en y ajoutant l’inscription des appareils et la gestion centralisée des logiciels, afin de relier ces tâches quotidiennes aux contrôles déjà utilisés pour les accès privilégiés.

Annoncées le 9 novembre, ces fonctionnalités constituent la première phase de la feuille de route de l’entreprise en matière de gestion des privilèges sur les terminaux. Elles sont conçues pour fonctionner avec les systèmes de gestion des appareils mobiles déjà en place, notamment Microsoft Intune, et s’appuient sur la gestion logicielle propulsée par UniGetUI pour permettre aux administrateurs d’approuver, d’installer et de mettre à jour des paquets sans accorder de droits d’administrateur local aux utilisateurs.

La disponibilité générale des nouvelles fonctionnalités est prévue pour décembre 2026. Elles étendent le rôle de la plateforme : au-delà du contrôle des accès aux systèmes, celle-ci permettra aussi de gérer les logiciels exécutés sur les machines inscrites, tout en regroupant les connexions, les identifiants et les processus liés aux accès privilégiés dans un espace de travail commun.

L’inscription des appareils relie les contrôles d’accès à la gestion des terminaux

La gestion des accès privilégiés et la gestion des logiciels sur les terminaux répondent à des problèmes connexes. La PAM contrôle l’accès aux comptes et aux sessions sensibles ; la gestion des terminaux détermine comment les logiciels sont installés et maintenus sur les machines auxquelles ces comptes donnent accès.

Devolutions prévoit d’intégrer les appareils inscrits au même espace de travail que celui utilisé par les administrateurs pour la PAM. Son annonce décrit une inscription à partir des solutions MDM existantes, sans obliger les organisations à renoncer aux investissements qu’elles ont réalisés dans la gestion de leurs appareils. Microsoft Intune est expressément cité parmi les systèmes que cette nouvelle fonctionnalité est conçue pour compléter.

L’objectif concret est de dissocier une demande légitime de logiciel de l’octroi permanent de privilèges d’administrateur. Une installation approuvée ne devrait pas obliger à accorder ensuite à un employé des pouvoirs étendus lui permettant d’effectuer des modifications sans rapport avec cette demande. La centralisation de ce processus pourrait également réduire le besoin, pour les administrateurs, de passer d’un outil à l’autre pour gérer les accès et assurer la maintenance courante des terminaux.

L’annonce ne précise ni la liste complète des appareils pris en charge ni tous les gestionnaires de paquets disponibles dans la version destinée aux entreprises. Ces détails de mise en œuvre seront importants pour évaluer comment les fonctionnalités prévues en décembre s’intégreront au parc informatique existant.

UniGetUI rassemble plusieurs gestionnaires de paquets dans une seule interface

Le composant de gestion des logiciels s’appuie sur UniGetUI, l’interface open source de Devolutions pour les gestionnaires de paquets. Le produit existant regroupe la recherche, l’installation, la mise à jour et la suppression de logiciels sur des systèmes tels que WinGet, Chocolatey, Scoop, Pip, Npm et PowerShell Gallery.

UniGetUI prend également en charge les opérations groupées et l’exportation de listes de paquets en vue de leur utilisation sur une autre machine. Ce contexte aide à comprendre son rôle dans l’annonce : l’outil offre une méthode commune pour gérer les logiciels distribués dans différents écosystèmes de paquets, tandis que les prochaines fonctionnalités destinées aux entreprises ajouteront l’approbation et la gestion centralisées des appareils inscrits.

Il convient de distinguer l’application open source existante du nouveau processus destiné aux entreprises. Les fonctionnalités actuelles d’UniGetUI fournissent un contexte technique ; elles ne garantissent pas que toutes les sources de paquets, toutes les options ou tous les modes de déploiement seront pris en charge dans la première version centralisée.

Des rôles à portée limitée réduisent les pouvoirs des comptes d’administration

La feuille de route concernant les terminaux s’accompagne d’améliorations récentes de la PAM visant à affiner la gestion des privilèges. Un administrateur de l’espace de travail peut gérer les utilisateurs et les paramètres de la plateforme sans obtenir automatiquement l’accès au contenu des coffres-forts. Un rôle d’auditeur dédié permet au personnel chargé de la sécurité et de la conformité de consulter les journaux d’activité et les métadonnées des sessions sans récupérer d’identifiants privilégiés.

Cette séparation est utile aux fournisseurs de services managés qui interviennent dans les environnements de leurs clients, ainsi qu’aux organisations qui confient l’administration de la plateforme, l’utilisation des identifiants et l’examen des activités à des personnes différentes. Un titre général d’administrateur n’implique pas nécessairement le pouvoir d’accéder à tous les secrets du système.

Devolutions regroupe également les entrées de connexion et les identifiants PAM dans un même coffre-fort. L’objectif est d’associer un identifiant privilégié à la connexion qui l’utilise et de régir le processus au moyen d’une structure d’autorisations unique.

« La PAM a toujours été conçue pour de grandes équipes de sécurité disposant de budgets importants et de plusieurs mois devant elles, mais ce n’est pas ainsi que travaillent les équipes informatiques », a déclaré le PDG de Devolutions, David Hervieux, dans l’annonce. L’entreprise présente sa plateforme comme un ensemble de contrôles que les administrateurs système et les petites équipes informatiques peuvent utiliser dans le cadre de leurs tâches courantes.

Accès à durée limitée, rotation des identifiants et traces de session

L’offre PAM de Devolutions intègre les processus liés aux accès privilégiés à Remote Desktop Manager et à un espace de travail auto-hébergé ou dans le nuage. Son site Web présente la détection des comptes, l’authentification renforcée, l’élévation des privilèges juste à temps et la supervision des sessions comme des éléments de cette approche.

Dans cette version, les utilisateurs peuvent demander un accès temporaire aux identifiants, avec la possibilité d’activer l’authentification multifacteur. Les personnes chargées de l’examen peuvent approuver, refuser ou modifier les demandes depuis l’interface web, l’application mobile ou Remote Desktop Manager. À la fin de la période d’accès, les mots de passe sont automatiquement renouvelés et les autorisations juste-à-temps sont supprimées.

Les prolongations approuvées permettent de poursuivre les tâches au-delà de la période initialement prévue. Les comptes juste-à-temps réutilisables préservent également l’identité associée aux boîtes aux lettres, aux licences et à l’historique, tandis que les limites de durée et les mécanismes d’approbation encadrent les accès. L’enregistrement des sessions privilégiées, les journaux d’activité et les rapports prédéfinis fournissent des éléments utiles aux examens ultérieurs.

Ces fonctionnalités interviennent à différents moments du cycle de vie des accès : approbation préalable, limites pendant l’utilisation, puis modification des identifiants ou des autorisations. Leur efficacité dépend des règles configurées par une organisation et des systèmes qu’elle inclut dans le périmètre.

Déploiement en décembre et tarifs actuels de PAM

Devolutions prévoit de présenter les nouvelles fonctionnalités d’enrôlement des appareils et de gestion des logiciels lors de Microsoft Ignite, du 17 au 20 novembre, avant leur disponibilité générale prévue en décembre 2026. Le module PAM existant est déjà disponible et peut être essayé pendant 14 jours.

Selon l’annonce, l’offre Privileged Access Management coûte 650 $ par utilisateur nommé et par an, avec une facturation annuelle et une assistance standard incluse. Les clients existants peuvent ajouter le module à leur espace de travail actuel ; pour les nouveaux clients, l’offre comprend l’espace de travail sur lequel il fonctionne. L’annonce ne précise pas de tarif distinct pour les fonctionnalités de gestion des terminaux à venir.

L’objectif est de mieux relier la gouvernance des accès aux activités quotidiennes sur les terminaux. En combinant des identifiants contrôlés, des connexions à distance et des opérations logicielles approuvées, Devolutions cherche à faciliter le maintien du principe du moindre privilège, même après la rédaction de la politique de sécurité initiale.