Devolutions、デバイス登録とソフトウェアの一元管理でPAMを拡張

ローカル管理者権限を削除すれば不要なアクセスを減らせますが、ITチームには、従業員が使うソフトウェアを実用的な方法でインストール、更新する手段が依然として必要です。Devolutionsは、デバイス登録とソフトウェアの一元管理をプラットフォームに追加し、日常的な業務を、特権アクセス向けにすでに利用されている制御と結び付けようとしています。

これらの機能は11月9日に発表され、同社のエンドポイント特権管理ロードマップの第1段階に当たります。Microsoft Intuneを含む既存のモバイルデバイス管理システムと連携するよう設計されており、UniGetUIを活用したソフトウェア管理により、ユーザーにローカル管理者権限を付与せずに、管理者がパッケージの承認、インストール、更新を行えます。

新機能は2026年12月に一般提供が開始される見込みです。アクセス可能なユーザーを制御するだけでなく、登録済みデバイス上で稼働するソフトウェアの管理へとプラットフォームの範囲を広げるとともに、接続、認証情報、特権ワークフローを共有ワークスペース内で一元管理します。

デバイス登録により、アクセス制御とエンドポイント管理を連携

特権アクセス管理とエンドポイントソフトウェア管理は、関連する課題に対処します。PAMは強力なアカウントやセッションへのアクセスを制御し、エンドポイント制御は、それらのアカウントがアクセスするマシン上でソフトウェアをどのようにインストール、保守するかを定めます。

Devolutionsは、登録済みデバイスを、管理者がPAMに使用するものと同じワークスペースに取り込む計画です。同社の発表によると、既存のMDMソリューションからデバイスを登録でき、組織がこれまでのデバイス管理への投資を放棄する必要はありません。新機能は、特にMicrosoft Intuneとの連携を想定していると明記されています。

実務上の目的は、正当なソフトウェアのリクエストと、管理者権限の恒久的な付与とを切り分けることです。インストールを承認した後、従業員に無関係な変更まで行える広範な権限を与える必要はありません。このワークフローを一元化すれば、アクセス管理と日常的なエンドポイント保守のために、管理者が別々のツールを行き来する必要も減らせる可能性があります。

発表では、対応デバイスの全一覧や、エンタープライズ版で利用できるすべてのパッケージマネージャーは明らかにされていません。チームが12月の新機能を既存の環境にどう適合させるかを検討するうえで、こうした導入面の詳細が重要になります。

UniGetUIが複数のパッケージマネージャーを単一のインターフェースに集約

ソフトウェア管理機能は、パッケージマネージャー向けのDevolutions製オープンソースインターフェースであるUniGetUIを基盤としています。既存の製品は、WinGet、Chocolatey、Scoop、Pip、Npm、PowerShell Galleryなどのシステムをまたいで、ソフトウェアの検索、インストール、更新、削除を一元化します。

UniGetUIは、一括操作や、別のマシンで使うためのパッケージリストのエクスポートにも対応しています。こうした背景から、発表された新機能における同製品の役割が分かります。異なるパッケージエコシステムを通じて配布されるソフトウェアを共通の方法で扱えるようにし、今後のエンタープライズ機能では、登録済みデバイスを対象に、承認と管理を一元化します。

既存のオープンソースアプリケーションと、新たなエンタープライズ向けワークフローは区別する必要があります。UniGetUIの現行機能は技術的な背景を示すものであり、すべてのパッケージソース、オプション、導入方法が、最初の一元管理版でサポートされることを意味するわけではありません。

役割の範囲を限定し、管理者アカウントの権限を縮小

エンドポイントに関するロードマップは、権限をより細かく設定することを目指す、最近のPAM機能強化と並行して進められています。Workspace管理者は、ユーザーやプラットフォームの設定を管理できますが、それによって自動的にボルトの内容にアクセスできるわけではありません。専用の監査担当者ロールを使えば、セキュリティ担当者やコンプライアンス担当者は、特権認証情報を取得せずに、アクティビティログやセッションのメタデータを確認できます。

この分離は、顧客環境をまたいで業務を行うマネージドサービスプロバイダーや、プラットフォームの管理、認証情報の使用、アクティビティの確認を別々の担当者が行う必要がある組織にとって有用です。管理者という広範な肩書きが、システム内のあらゆる機密情報を扱う権限を意味する必要はありません。

Devolutionsは、接続情報とPAM認証情報も単一のボルトにまとめています。特権認証情報を、それを使用する接続に関連付け、1つの権限設定でワークフロー全体を管理することを目指しています。

「PAMはこれまで、潤沢な予算と数カ月の準備期間を確保できる大規模なセキュリティチーム向けに構築されてきました。しかし、それはITチームの実態とは異なります」と、DevolutionsのCEOであるDavid Hervieux氏は発表の中で述べました。同社は、システム管理者や小規模なITチームが日常業務で利用できる制御を中心に、プラットフォームを位置付けています。

期限付きアクセス、認証情報のローテーション、セッションの証跡

DevolutionsのPAMソリューションは、特権ワークフローをRemote Desktop Managerと統合し、セルフホスト型またはクラウド型のワークスペースで利用できます。同社のウェブサイトでは、このアプローチの一環として、アカウントの検出、追加認証、ジャストインタイムの権限昇格、セッションの監視を挙げています。

今回のリリースでは、ユーザーは利用時間を限定して認証情報の貸し出しを申請でき、多要素認証も利用できます。審査担当者は、Webインターフェース、モバイルアプリケーション、またはRemote Desktop Managerを通じて、申請を承認、却下、または変更できます。貸し出し期間の終了時には、パスワードが自動的に変更され、ジャストインタイムの権限が削除されます。

承認された延長により、当初の利用期間を超える作業にも対応できます。再利用可能なジャストインタイムアカウントを使えば、メールボックス、ライセンス、履歴に紐づくIDも維持できます。また、アクセスは利用時間の制限と承認管理によって統制されます。特権セッションの記録、アクティビティログ、事前定義済みレポートは、後日のレビューに必要な証跡となります。

これらの機能は、アクセスライフサイクルの異なる段階、すなわちアクセス前の承認、利用中の制限、利用後の認証情報や権限の変更に対応します。その有効性は、組織が設定するポリシーと、管理対象に含めるシステムによって異なります。

12月の展開と現在のPAM価格

Devolutionsは、デバイス登録とソフトウェア管理の新機能を、Microsoft Ignite（11月17～20日）で紹介する予定です。これらの機能は、2026年12月に一般提供が開始される見込みです。既存のPAMモジュールは現在も利用でき、14日間のトライアルが用意されています。

発表によると、Privileged Access Managementパッケージの料金は、ユーザー名を指定したユーザー1人あたり年間650ドルで、年払いとなり、標準サポートが含まれます。既存の顧客は現在のワークスペースにモジュールを追加できます。新規顧客の場合、パッケージにはモジュールの実行に必要なワークスペースが含まれます。今回のリリースでは、今後提供予定のエンドポイント機能に個別の価格は設定されていません。

目指すのは、アクセスガバナンスと日々のエンドポイント業務をより緊密に結び付けることです。制御された認証情報、リモート接続、承認済みのソフトウェア操作を組み合わせることで、Devolutionsは、最初のセキュリティポリシーを策定した後も最小権限の原則を維持しやすくしようとしています。