Devolutions amplia la gestione degli accessi privilegiati (PAM) con la registrazione dei dispositivi e la gestione centralizzata del software

La rimozione dei diritti di amministratore locale può ridurre gli accessi non necessari, ma i team IT hanno comunque bisogno di un metodo pratico per installare e aggiornare i software utilizzati dai dipendenti. Devolutions amplia la propria piattaforma con la registrazione dei dispositivi e la gestione centralizzata del software, con l’obiettivo di integrare queste attività quotidiane con i controlli già in uso per gli accessi privilegiati.

Annunciate il 9 novembre, queste funzionalità rappresentano la prima fase della roadmap dell’azienda per la gestione dei privilegi degli endpoint. Sono progettate per affiancare i sistemi esistenti di gestione dei dispositivi mobili, tra cui Microsoft Intune, e si avvalgono della gestione software basata su UniGetUI per consentire agli amministratori di approvare, installare e aggiornare pacchetti senza concedere agli utenti diritti di amministratore locale.

Le nuove funzionalità dovrebbero essere rese disponibili a tutti nel dicembre 2026. Ampliano la piattaforma, che non si limiterà più a controllare chi può accedere a un sistema, ma consentirà anche di gestire il software in esecuzione sui dispositivi registrati, mantenendo connessioni, credenziali e flussi di lavoro privilegiati in un’area di lavoro condivisa.

La registrazione dei dispositivi integra i controlli di accesso con la gestione degli endpoint

La gestione degli accessi privilegiati e quella del software sugli endpoint affrontano problemi correlati. La PAM controlla l’accesso agli account e alle sessioni con privilegi elevati; i controlli degli endpoint determinano come installare e mantenere il software sui dispositivi raggiunti da tali account.

Devolutions intende integrare i dispositivi registrati nella stessa area di lavoro che gli amministratori utilizzano per la PAM. L’annuncio descrive la registrazione tramite soluzioni MDM esistenti, senza obbligare le organizzazioni a rinunciare agli investimenti fatti nella gestione dei dispositivi. Microsoft Intune è indicato esplicitamente come un sistema con cui la nuova funzionalità è progettata per integrarsi.

L’obiettivo pratico è distinguere una legittima richiesta di software dalla concessione permanente dei privilegi di amministratore. Un’installazione approvata non dovrebbe richiedere di concedere a un dipendente ampi poteri per apportare in seguito modifiche non correlate. Centralizzare questo flusso di lavoro potrebbe anche ridurre la necessità per gli amministratori di passare da uno strumento all’altro per gestire gli accessi e la manutenzione ordinaria degli endpoint.

L’annuncio non specifica l’intera gamma di dispositivi supportati né tutti i gestori di pacchetti disponibili nella versione aziendale. Questi dettagli di implementazione saranno importanti per valutare come le funzionalità previste per dicembre si integreranno con l’infrastruttura esistente dei team.

UniGetUI riunisce più gestori di pacchetti in un’unica interfaccia

Il componente di gestione software si basa su UniGetUI, l’interfaccia open source di Devolutions per i gestori di pacchetti. Il prodotto esistente riunisce la ricerca, l’installazione, l’aggiornamento e la rimozione di software su sistemi quali WinGet, Chocolatey, Scoop, Pip, Npm e PowerShell Gallery.

UniGetUI supporta anche le operazioni in blocco e l’esportazione di elenchi di pacchetti da utilizzare su un altro dispositivo. Questo contesto aiuta a chiarirne il ruolo nell’annuncio: offre un metodo comune per gestire software distribuito tramite diversi ecosistemi di pacchetti, mentre le imminenti funzionalità aziendali aggiungono l’approvazione e la gestione centralizzate dei dispositivi registrati.

L’applicazione open source esistente va distinta dal nuovo flusso di lavoro aziendale. Le funzionalità attuali di UniGetUI forniscono un contesto tecnico, ma non dimostrano che la prima versione centralizzata supporterà ogni origine di pacchetti, opzione o modalità di distribuzione.

I ruoli con autorizzazioni circoscritte limitano i poteri degli account amministrativi

La roadmap per gli endpoint si affianca ai recenti miglioramenti della PAM, volti a rendere più granulari i privilegi. Un amministratore dell’area di lavoro può gestire utenti e impostazioni della piattaforma senza ottenere automaticamente accesso ai contenuti del vault. Un ruolo dedicato di revisore consente al personale addetto alla sicurezza e alla conformità di esaminare i registri delle attività e i metadati delle sessioni senza recuperare credenziali privilegiate.

Questa separazione è utile per i fornitori di servizi gestiti che operano negli ambienti dei clienti e per le organizzazioni che richiedono che persone diverse amministrino la piattaforma, utilizzino le credenziali e verifichino le attività. Un titolo di amministratore generico non deve necessariamente implicare l’autorità su ogni segreto presente nel sistema.

Devolutions riunisce inoltre le voci di connessione e le credenziali PAM in un unico vault. L’obiettivo è associare una credenziale privilegiata alla connessione che la utilizza e gestire il flusso di lavoro attraverso un’unica struttura di autorizzazioni.

«Storicamente, la PAM è stata pensata per grandi team di sicurezza con budget elevati e mesi a disposizione, ma non è così che lavorano i team IT», ha dichiarato nell’annuncio David Hervieux, CEO di Devolutions. L’azienda presenta la propria piattaforma come una soluzione basata su controlli utilizzabili dagli amministratori di sistema e dai team IT più piccoli durante le attività di routine.

Accessi a tempo limitato, rotazione delle credenziali e registrazioni delle sessioni

L’offerta PAM di Devolutions integra i flussi di lavoro privilegiati con Remote Desktop Manager e un’area di lavoro self-hosted oppure cloud. Il sito web descrive l’individuazione degli account, l’autenticazione rafforzata, l’elevazione dei privilegi just-in-time e il monitoraggio delle sessioni come componenti di questo approccio.

Con questa versione, gli utenti possono richiedere il prelievo temporaneo di credenziali, con la possibilità di attivare l’autenticazione a più fattori. I responsabili delle approvazioni possono approvare, rifiutare o modificare le richieste tramite l’interfaccia web, l’applicazione mobile o Remote Desktop Manager. Al termine del prelievo, le password vengono ruotate automaticamente e le autorizzazioni just-in-time vengono revocate.

Le proroghe approvate possono consentire di portare a termine attività che superano la durata prevista inizialmente. Gli account just-in-time riutilizzabili mantengono inoltre l’identità associata a caselle di posta, licenze e cronologia, mentre i limiti di tempo e i controlli di approvazione regolano l’accesso. Le registrazioni delle sessioni con privilegi elevati, i registri delle attività e i report predefiniti forniscono elementi utili per le verifiche successive.

Queste funzionalità intervengono in momenti diversi del ciclo di vita degli accessi: l’approvazione prima dell’accesso, i limiti durante l’utilizzo e le modifiche alle credenziali o alle autorizzazioni in seguito. La loro efficacia dipende dalle policy configurate dall’organizzazione e dai sistemi inclusi nel loro ambito di applicazione.

Lancio a dicembre e prezzi attuali di PAM

Devolutions prevede di presentare le nuove funzionalità di registrazione dei dispositivi e gestione del software a Microsoft Ignite, dal 17 al 20 novembre, in vista della disponibilità generale prevista per dicembre 2026. Il modulo PAM esistente è già disponibile e include una prova di 14 giorni.

Secondo l’annuncio, il pacchetto Privileged Access Management costa 650 $ all’anno per utente nominativo, con fatturazione annuale e supporto standard incluso. I clienti esistenti possono aggiungere il modulo alla propria area di lavoro attuale; per i nuovi clienti, il pacchetto include l’area di lavoro in cui viene eseguito. L’annuncio non indica un prezzo separato per le funzionalità per endpoint di prossima disponibilità.

La direzione intrapresa punta a una più stretta integrazione tra la governance degli accessi e le attività quotidiane sugli endpoint. Combinando credenziali controllate, connessioni remote e operazioni software approvate, Devolutions cerca di rendere più facile mantenere il principio del privilegio minimo anche dopo aver definito la policy di sicurezza iniziale.