Devolutions rozszerza PAM o rejestrację urządzeń i scentralizowane zarządzanie oprogramowaniem

Odebranie lokalnych uprawnień administratora może ograniczyć zbędny dostęp, ale zespoły IT nadal potrzebują praktycznego sposobu instalowania i aktualizowania oprogramowania używanego przez pracowników. Devolutions rozszerza swoją platformę o rejestrację urządzeń i scentralizowane zarządzanie oprogramowaniem, aby powiązać te codzienne zadania z mechanizmami kontroli już stosowanymi w zarządzaniu dostępem uprzywilejowanym.

Możliwości te ogłoszono 9 listopada i stanowią one pierwszą fazę planu rozwoju firmy w zakresie zarządzania uprawnieniami na punktach końcowych. Mają współpracować z istniejącymi systemami zarządzania urządzeniami mobilnymi, w tym z Microsoft Intune, oraz wykorzystywać funkcje zarządzania oprogramowaniem oparte na UniGetUI, dzięki którym administratorzy będą mogli zatwierdzać, instalować i aktualizować pakiety bez przyznawania użytkownikom lokalnych uprawnień administratora.

Nowe funkcje mają być powszechnie dostępne w grudniu 2026 roku. Rozszerzają platformę poza kontrolowanie tego, kto może uzyskać dostęp do systemu, o nadzór nad oprogramowaniem działającym na zarejestrowanych urządzeniach, przy jednoczesnym przechowywaniu połączeń, poświadczeń i procesów związanych z uprawnieniami uprzywilejowanymi we wspólnym obszarze roboczym.

Rejestracja urządzeń łączy mechanizmy kontroli dostępu z zarządzaniem punktami końcowymi

Zarządzanie dostępem uprzywilejowanym i zarządzanie oprogramowaniem na punktach końcowych dotyczą powiązanych ze sobą problemów. PAM kontroluje dostęp do kont i sesji o szerokich uprawnieniach, a mechanizmy kontroli punktów końcowych określają, jak oprogramowanie jest instalowane i aktualizowane na urządzeniach, do których te konta zapewniają dostęp.

Devolutions planuje włączyć zarejestrowane urządzenia do tego samego obszaru roboczego, z którego administratorzy korzystają przy obsłudze PAM. Zgodnie z zapowiedzią rejestracja ma odbywać się za pośrednictwem istniejących rozwiązań MDM, bez konieczności rezygnowania przez organizacje z dotychczasowych inwestycji w zarządzanie urządzeniami. Microsoft Intune został wymieniony jako system, z którym nowe funkcje mają współpracować.

Celem jest oddzielenie uzasadnionego wniosku o oprogramowanie od stałego przyznania uprawnień administratora. Zatwierdzenie instalacji nie powinno wymagać nadania pracownikowi szerokich uprawnień do wprowadzania później niezwiązanych z nią zmian. Scentralizowanie tego procesu mogłoby również ograniczyć konieczność przełączania się administratorów między osobnymi narzędziami do zarządzania dostępem i rutynowej obsługi punktów końcowych.

W zapowiedzi nie określono pełnej listy obsługiwanych urządzeń ani wszystkich menedżerów pakietów dostępnych w wersji dla przedsiębiorstw. Te szczegóły wdrożeniowe będą istotne dla zespołów oceniających, jak grudniowe funkcje wpiszą się w ich obecne środowisko.

UniGetUI łączy wiele menedżerów pakietów w jednym interfejsie

Moduł do zarządzania oprogramowaniem bazuje na UniGetUI, otwartoźródłowym interfejsie Devolutions do obsługi menedżerów pakietów. Istniejący produkt umożliwia wyszukiwanie, instalowanie, aktualizowanie i usuwanie oprogramowania w różnych systemach, w tym WinGet, Chocolatey, Scoop, Pip, Npm i PowerShell Gallery.

UniGetUI obsługuje również operacje zbiorcze i eksportowanie list pakietów, aby można było użyć ich na innym urządzeniu. Ta funkcja pomaga zrozumieć rolę produktu w zapowiedzi: zapewnia wspólny sposób obsługi oprogramowania dystrybuowanego za pośrednictwem różnych ekosystemów pakietów, a nadchodzące funkcje dla przedsiębiorstw dodadzą centralne zatwierdzanie i zarządzanie zarejestrowanymi urządzeniami.

Należy odróżnić istniejącą aplikację otwartoźródłową od nowego procesu dla przedsiębiorstw. Obecne możliwości UniGetUI zapewniają kontekst techniczny, ale nie oznaczają, że w pierwszej scentralizowanej wersji będą obsługiwane wszystkie źródła pakietów, opcje i sposoby wdrażania.

Role o ograniczonym zakresie zmniejszają uprawnienia kont administracyjnych

Plan rozwoju funkcji dla punktów końcowych uzupełnia niedawne ulepszenia PAM, których celem jest precyzyjniejsze określanie uprawnień. Administrator obszaru roboczego może zarządzać użytkownikami i ustawieniami platformy, nie uzyskując przy tym automatycznie dostępu do zawartości sejfu. Dedykowana rola audytora pozwala pracownikom odpowiedzialnym za bezpieczeństwo i zgodność przeglądać dzienniki aktywności oraz metadane sesji bez pobierania poświadczeń uprzywilejowanych.

Takie rozdzielenie jest przydatne dla dostawców usług zarządzanych obsługujących środowiska wielu klientów, a także dla organizacji, które wymagają, by różne osoby administrowały platformą, korzystały z poświadczeń i przeglądały aktywność. Szeroki zakres obowiązków administratora nie musi oznaczać dostępu do wszystkich poufnych danych w systemie.

Devolutions łączy również wpisy połączeń i poświadczenia PAM w jednym sejfie. Celem jest powiązanie poświadczenia uprzywilejowanego z połączeniem, które z niego korzysta, oraz zarządzanie całym procesem za pomocą jednego zestawu uprawnień.

„Rozwiązania PAM były dotąd tworzone z myślą o dużych zespołach ds. bezpieczeństwa, dysponujących dużymi budżetami i mogących poświęcić na wdrożenie całe miesiące, ale tak nie pracują zespoły IT” — powiedział w zapowiedzi David Hervieux, dyrektor generalny Devolutions. Firma przedstawia swoją platformę jako rozwiązanie oferujące mechanizmy kontroli, z których administratorzy systemów i mniejsze zespoły IT mogą korzystać na co dzień.

Dostęp ograniczony czasowo, rotacja poświadczeń i dane z sesji

Oferta PAM Devolutions łączy procesy związane z uprawnieniami uprzywilejowanymi z Remote Desktop Manager i obszarem roboczym hostowanym samodzielnie lub w chmurze. Na stronie internetowej jako elementy tego podejścia wymieniono wykrywanie kont, uwierzytelnianie z podwyższonym poziomem zabezpieczeń, tymczasowe podnoszenie uprawnień oraz nadzór nad sesjami.

W tej wersji użytkownicy mogą wnioskować o czasowe pobranie danych uwierzytelniających, z opcją uwierzytelniania wieloskładnikowego. Osoby rozpatrujące wnioski mogą je zatwierdzać, odrzucać lub modyfikować za pośrednictwem interfejsu internetowego, aplikacji mobilnej albo Remote Desktop Manager. Po zakończeniu okresu pobrania hasła są automatycznie zmieniane, a uprawnienia przyznane na żądanie — odbierane.

Zatwierdzone przedłużenia mogą obejmować prace wykraczające poza pierwotnie wyznaczony okres. Wielokrotnego użytku konta przyznawane na żądanie zachowują też tożsamość powiązaną ze skrzynkami pocztowymi, licencjami i historią, a dostęp jest kontrolowany za pomocą limitów czasowych i mechanizmów zatwierdzania. Nagrania uprzywilejowanych sesji, dzienniki aktywności i predefiniowane raporty dostarczają materiału do późniejszej analizy.

Możliwości te obejmują różne etapy cyklu życia dostępu: zatwierdzanie przed uzyskaniem dostępu, ograniczenia obowiązujące podczas korzystania z niego oraz zmiany danych uwierzytelniających lub uprawnień w późniejszym czasie. Ich skuteczność zależy od skonfigurowanych przez organizację zasad oraz systemów objętych ich zakresem.

Wdrożenie w grudniu i obecne ceny PAM

Devolutions planuje zaprezentować nowe funkcje rejestrowania urządzeń i zarządzania oprogramowaniem podczas konferencji Microsoft Ignite, która odbędzie się w dniach 17–20 listopada, przed ich przewidywanym udostępnieniem w grudniu 2026 roku. Obecny moduł PAM jest już dostępny, a jego wersję można testować przez 14 dni.

Zgodnie z zapowiedzią pakiet Privileged Access Management kosztuje 650 USD rocznie za każdego imiennego użytkownika, przy płatności rocznej; obejmuje standardową pomoc techniczną. Obecni klienci mogą dodać moduł do używanej przestrzeni roboczej, a w przypadku nowych klientów pakiet obejmuje przestrzeń, w której działa. W zapowiedzi nie podano osobnej ceny planowanych funkcji dotyczących punktów końcowych.

Kierunek rozwoju zakłada ściślejsze powiązanie zarządzania dostępem z codzienną obsługą urządzeń końcowych. Łącząc kontrolowane dane uwierzytelniające, połączenia zdalne i zatwierdzone operacje na oprogramowaniu, Devolutions stara się ułatwić utrzymanie zasady minimalnych uprawnień po opracowaniu początkowej polityki bezpieczeństwa.