Devolutions utvider PAM med enhetsregistrering og sentralisert programvareadministrasjon

Fjerning av lokale administratorrettigheter kan redusere unødvendig tilgang, men IT-team trenger fortsatt en praktisk måte å installere og oppdatere programvaren de ansatte bruker på. Devolutions utvider plattformen med enhetsregistrering og sentralisert programvareadministrasjon, med mål om å knytte dette daglige arbeidet til kontrollene som allerede brukes for privilegert tilgang.

Funksjonene ble kunngjort 9. november og utgjør den første fasen av selskapets veikart for administrasjon av endepunktsprivilegier. De er utviklet for å fungere sammen med eksisterende systemer for administrasjon av mobile enheter, blant annet Microsoft Intune, og bruker programvareadministrasjon drevet av UniGetUI til å la administratorer godkjenne, installere og oppdatere pakker uten å gi brukerne lokale administratorrettigheter.

De nye funksjonene ventes å bli allment tilgjengelige i desember 2026. De utvider plattformens bruksområde fra å kontrollere hvem som får tilgang til et system, til også å styre programvaren som kjører på registrerte maskiner, samtidig som tilkoblinger, legitimasjon og privilegerte arbeidsflyter samles i ett arbeidsområde.

Enhetsregistrering knytter tilgangskontroller til arbeidet med endepunkter

Administrasjon av privilegert tilgang og administrasjon av programvare på endepunkter løser beslektede problemer. PAM kontrollerer tilgangen til kontoer med omfattende rettigheter og tilhørende økter, mens endepunktkontroller styrer hvordan programvare installeres og vedlikeholdes på maskinene disse kontoene gir tilgang til.

Devolutions planlegger å samle registrerte enheter i det samme arbeidsområdet som administratorer bruker til PAM. I kunngjøringen beskrives registrering fra eksisterende MDM-løsninger, slik at organisasjoner ikke må gi avkall på investeringene sine i enhetsadministrasjon. Microsoft Intune nevnes spesielt som et system den nye funksjonaliteten er utviklet for å supplere.

Målet i praksis er å skille en legitim programvareforespørsel fra en permanent tildeling av administratorrettigheter. En godkjent installasjon bør ikke kreve at en ansatt får vide fullmakter til å gjøre andre, uvedkommende endringer etterpå. Ved å samle denne arbeidsflyten på ett sted kan man også redusere behovet for at administratorer veksler mellom separate verktøy for tilgangsstyring og vanlig vedlikehold av endepunkter.

Kunngjøringen spesifiserer ikke den fullstendige oversikten over støttede enheter eller alle pakkebehandlerne som blir tilgjengelige i bedriftsversjonen. Disse implementeringsdetaljene vil være viktige når teamene vurderer hvordan funksjonene som kommer i desember, passer inn i det eksisterende IT-miljøet deres.

UniGetUI samler flere pakkebehandlere i ett grensesnitt

Komponenten for programvareadministrasjon bygger på UniGetUI, Devolutions’ åpen kildekode-grensesnitt for pakkebehandlere. Det eksisterende produktet samler søk etter, installasjon, oppdatering og fjerning av programvare på tvers av systemer som WinGet, Chocolatey, Scoop, Pip, Npm og PowerShell Gallery.

UniGetUI støtter også masseoperasjoner og eksport av pakkelister for bruk på en annen maskin. Denne bakgrunnen bidrar til å forklare hvilken rolle løsningen har i kunngjøringen: Den gir en felles måte å håndtere programvare som distribueres gjennom ulike pakkeøkosystemer på, mens de kommende bedriftsfunksjonene legger til sentralisert godkjenning og administrasjon av registrerte enheter.

Det eksisterende åpen kildekode-programmet må holdes atskilt fra den nye arbeidsflyten for bedrifter. UniGetUIs nåværende funksjoner gir teknisk kontekst, men er ingen garanti for at alle pakkekilder, alternativer eller utrullingsmåter støttes i den første sentraliserte versjonen.

Avgrensede roller begrenser rekkevidden til administratorkontoer

Veikartet for endepunkter kommer i tillegg til nylige PAM-forbedringer som skal gjøre det mulig å avgrense privilegier mer presist. En administrator for arbeidsområdet kan administrere brukere og plattforminnstillinger uten automatisk å få tilgang til innholdet i hvelvet. En egen revisorrolle lar ansatte innen sikkerhet og etterlevelse undersøke aktivitetslogger og øktmetadata uten å hente ut privilegert legitimasjon.

Dette skillet er nyttig for leverandører av administrerte tjenester som arbeider på tvers av kundemiljøer, og for organisasjoner der ulike personer skal administrere plattformen, bruke legitimasjon og gjennomgå aktivitet. En bred administratortittel trenger ikke å innebære myndighet over alle hemmeligheter i systemet.

Devolutions samler også tilkoblingsoppføringer og PAM-legitimasjon i ett hvelv. Målet er å knytte privilegert legitimasjon til tilkoblingen den brukes med, med én struktur for tillatelser som styrer arbeidsflyten.

«PAM har historisk vært utviklet for store sikkerhetsteam med store budsjetter og måneder til rådighet, men slik jobber ikke IT-team», sa Devolutions’ administrerende direktør David Hervieux i kunngjøringen. Selskapet presenterer plattformen som et sett med kontroller som systemadministratorer og mindre IT-team kan bruke i det daglige arbeidet.

Tidsbegrenset tilgang, passordrotasjon og dokumentasjon av økter

Devolutions’ PAM-løsning integrerer privilegerte arbeidsflyter med Remote Desktop Manager og et arbeidsområde som enten er selvhostet eller skybasert. På nettstedet beskrives kontoregistrering, trinnvis autentisering, tidsbegrenset heving av rettigheter og overvåking av økter som deler av denne løsningen.

I lanseringen kan brukerne be om å låne påloggingsopplysninger for en begrenset periode, med mulighet for flerfaktorautentisering. Godkjennere kan godkjenne, avslå eller endre forespørsler via nettgrensesnittet, mobilappen eller Remote Desktop Manager. Når låneperioden er over, endres passordene automatisk, og just-in-time-tilgangene fjernes.

Godkjente forlengelser kan ta høyde for arbeid som varer lenger enn den opprinnelige tidsperioden. Gjenbrukbare just-in-time-kontoer bevarer også identiteten som er knyttet til postbokser, lisenser og historikk, mens tidsbegrensninger og godkjenningskontroller styrer tilgangen. Opptak av privilegerte økter, aktivitetslogger og forhåndsdefinerte rapporter gir dokumentasjon for senere gjennomgang.

Disse funksjonene dekker ulike stadier i tilgangslivssyklusen: godkjenning før tilgang, begrensninger under bruk og endringer i påloggingsopplysninger eller tillatelser etterpå. Hvor effektive de er, avhenger av hvilke retningslinjer en organisasjon konfigurerer, og hvilke systemer den tar med i omfanget.

Utrulling i desember og gjeldende PAM-priser

Devolutions planlegger å demonstrere de nye funksjonene for enhetsregistrering og programvareadministrasjon på Microsoft Ignite 17.–20. november, før den forventede generelle tilgjengeligheten i desember 2026. Den eksisterende PAM-modulen er fortsatt tilgjengelig, med en prøveperiode på 14 dager.

Ifølge kunngjøringen koster pakken Privileged Access Management 650 dollar per navngitt bruker per år, fakturert årlig, med standardstøtte inkludert. Eksisterende kunder kan legge til modulen i arbeidsområdet de allerede bruker. For nye kunder omfatter pakken arbeidsområdet den kjøres i. Lanseringen oppgir ingen separat pris for de kommende endepunktfunksjonene.

Retningen er en tettere kobling mellom tilgangsstyring og det daglige arbeidet med endepunkter. Ved å kombinere kontrollerte påloggingsopplysninger, eksterne tilkoblinger og godkjente programvareoperasjoner forsøker Devolutions å gjøre det enklere å opprettholde prinsippet om minste privilegium etter at den opprinnelige sikkerhetspolicyen er utformet.