Devolutions breidt PAM uit met apparaatregistratie en gecentraliseerd softwarebeheer

Het verwijderen van lokale beheerdersrechten kan onnodige toegang beperken, maar IT-teams hebben nog steeds een praktische manier nodig om de software die medewerkers gebruiken te installeren en bij te werken. Devolutions breidt zijn platform uit met apparaatregistratie en gecentraliseerd softwarebeheer, met als doel dit dagelijkse werk te verbinden met de bestaande maatregelen voor bevoorrechte toegang.

De mogelijkheden werden op 9 november aangekondigd en vormen de eerste fase van de roadmap van het bedrijf voor beheer van eindpuntbevoegdheden. Ze zijn bedoeld om samen te werken met bestaande systemen voor mobiel apparaatbeheer, waaronder Microsoft Intune. Het softwarebeheer op basis van UniGetUI stelt beheerders in staat pakketten goed te keuren, te installeren en bij te werken zonder gebruikers lokale beheerdersrechten te geven.

De nieuwe functies zullen naar verwachting in december 2026 algemeen beschikbaar komen. Ze breiden het platform uit: naast het beheren van wie toegang heeft tot een systeem, kunnen organisaties er ook mee bepalen welke software op ingeschreven apparaten draait. Tegelijkertijd blijven verbindingen, aanmeldgegevens en workflows voor bevoorrechte toegang in één gedeelde werkomgeving ondergebracht.

Apparaatregistratie verbindt toegangsbeheer met eindpuntbeheer

Beheer van bevoorrechte toegang en softwarebeheer op eindpunten pakken samenhangende problemen aan. PAM regelt de toegang tot accounts en sessies met uitgebreide bevoegdheden; eindpuntbeheer bepaalt hoe software wordt geïnstalleerd en onderhouden op de apparaten waartoe die accounts toegang hebben.

Devolutions wil ingeschreven apparaten onderbrengen in dezelfde werkomgeving die beheerders voor PAM gebruiken. In de aankondiging wordt beschreven hoe apparaten kunnen worden ingeschreven vanuit bestaande MDM-oplossingen, zonder dat organisaties hun investeringen in apparaatbeheer hoeven op te geven. Microsoft Intune wordt specifiek genoemd als een systeem waarmee de nieuwe functionaliteit moet samenwerken.

Het praktische doel is om een legitiem softwareverzoek los te koppelen van het permanent toekennen van beheerdersrechten. Voor een goedgekeurde installatie zou een medewerker achteraf geen ruime bevoegdheden hoeven te krijgen om andere, niet-gerelateerde wijzigingen aan te brengen. Door deze workflow te centraliseren, hoeven beheerders mogelijk ook minder vaak te wisselen tussen aparte tools voor toegangsbeheer en routinematig onderhoud van eindpunten.

In de aankondiging wordt niet aangegeven welke apparaten allemaal worden ondersteund of welke pakketbeheerders beschikbaar zijn in de enterpriseversie. Die implementatiedetails zijn van belang wanneer teams beoordelen hoe de mogelijkheden die in december verschijnen, aansluiten op hun bestaande omgeving.

UniGetUI brengt meerdere pakketbeheerders samen in één interface

Het softwarebeheer bouwt voort op UniGetUI, de opensource-interface van Devolutions voor pakketbeheerders. Het bestaande product brengt het zoeken naar, installeren, bijwerken en verwijderen van software samen voor systemen als WinGet, Chocolatey, Scoop, Pip, Npm en PowerShell Gallery.

UniGetUI ondersteunt ook bulkbewerkingen en het exporteren van pakketlijsten voor gebruik op een ander apparaat. Die achtergrond helpt de rol ervan in de aankondiging te verduidelijken: het biedt een gemeenschappelijke manier om software uit verschillende pakketecosystemen te beheren, terwijl de aankomende enterprisefuncties centraal beheer en goedkeuring voor ingeschreven apparaten toevoegen.

De bestaande opensourceapplicatie moet worden onderscheiden van de nieuwe enterpriseworkflow. De huidige mogelijkheden van UniGetUI bieden technische context, maar vormen geen bewijs dat elke pakketbron, optie of implementatiemethode in de eerste gecentraliseerde release wordt ondersteund.

Afgebakende rollen beperken de reikwijdte van beheerdersaccounts

De roadmap voor eindpunten gaat samen met recente PAM-verbeteringen die bevoegdheden nauwkeuriger moeten afbakenen. Een Workspace-beheerder kan gebruikers en platforminstellingen beheren zonder automatisch toegang te krijgen tot de inhoud van de kluis. Met een aparte auditorrol kunnen medewerkers van beveiligings- en complianceteams activiteitenlogboeken en sessiemetadata bekijken zonder bevoorrechte aanmeldgegevens op te halen.

Die scheiding is nuttig voor managedserviceproviders die in verschillende klantomgevingen werken en voor organisaties waarin verschillende mensen verantwoordelijk zijn voor het beheer van het platform, het gebruik van aanmeldgegevens en het controleren van activiteiten. Een brede beheerdersfunctie hoeft geen bevoegdheid te betekenen over elk geheim in het systeem.

Devolutions brengt ook verbindingsgegevens en PAM-aanmeldgegevens samen in één kluis. Het doel is om een bevoorrecht aanmeldgegeven te koppelen aan de verbinding waarvoor het wordt gebruikt, waarbij één machtigingsstructuur de workflow beheert.

‘PAM is van oudsher ontwikkeld voor grote beveiligingsteams met ruime budgetten en maanden de tijd, maar zo werken IT-teams niet’, zei Devolutions-CEO David Hervieux in de aankondiging. Het bedrijf positioneert zijn platform als een oplossing met maatregelen die systeembeheerders en kleinere IT-teams bij hun dagelijkse werkzaamheden kunnen gebruiken.

Tijdsgebonden toegang, rotatie en sessiegegevens

Het PAM-aanbod van Devolutions integreert workflows voor bevoorrechte toegang met Remote Desktop Manager en een zelfgehoste of cloudwerkomgeving. De website beschrijft accountdetectie, aanvullende authenticatie, tijdelijke rechtenverhoging en sessiemonitoring als onderdelen van deze aanpak.

In deze release kunnen gebruikers inloggegevens voor een beperkte periode opvragen, met de mogelijkheid om multifactorauthenticatie te gebruiken. Beoordelaars kunnen aanvragen goedkeuren, afwijzen of aanpassen via de webinterface, de mobiele app of Remote Desktop Manager. Aan het einde van de uitleenperiode worden wachtwoorden automatisch gewijzigd en worden de just-in-time-rechten ingetrokken.

Goedgekeurde verlengingen bieden ruimte voor werkzaamheden die langer duren dan de oorspronkelijke periode. Herbruikbare just-in-time-accounts behouden ook de identiteit die is gekoppeld aan mailboxen, licenties en geschiedenis, terwijl tijdslimieten en goedkeuringscontroles de toegang reguleren. Opnamen van geprivilegieerde sessies, activiteitenlogboeken en vooraf gedefinieerde rapporten leveren bewijsmateriaal voor latere controle.

Deze mogelijkheden bestrijken verschillende momenten in de toegangslevenscyclus: goedkeuring vóór toegang, beperkingen tijdens het gebruik en wijzigingen van inloggegevens of rechten achteraf. De effectiviteit ervan hangt af van het beleid dat een organisatie configureert en de systemen die zij binnen het toepassingsgebied brengt.

Uitrol in december en huidige PAM-prijzen

Devolutions is van plan de nieuwe functies voor apparaatinschrijving en softwarebeheer te demonstreren tijdens Microsoft Ignite, van 17 tot en met 20 november, in aanloop naar de verwachte algemene beschikbaarheid in december 2026. De bestaande PAM-module is nu al beschikbaar en wordt geleverd met een proefperiode van 14 dagen.

Volgens de aankondiging kost het Privileged Access Management-pakket $650 per benoemde gebruiker per jaar, jaarlijks gefactureerd, inclusief standaardondersteuning. Bestaande klanten kunnen de module toevoegen aan hun huidige werkruimte; voor nieuwe klanten is de werkruimte waarin het pakket draait inbegrepen. In de release wordt geen afzonderlijke prijs genoemd voor de toekomstige endpointmogelijkheden.

De koers is gericht op een nauwere verbinding tussen toegangsbeheer en het dagelijkse werk met endpoints. Door gecontroleerde inloggegevens, externe verbindingen en goedgekeurde softwarehandelingen te combineren, probeert Devolutions het makkelijker te maken om het principe van minimale toegangsrechten te handhaven nadat het oorspronkelijke beveiligingsbeleid is opgesteld.