Devolutions расширяет возможности PAM за счёт регистрации устройств и централизованного управления программным обеспечением

Отказ от локальных прав администратора помогает сократить избыточный доступ, однако ИТ-командам по-прежнему нужен удобный способ устанавливать и обновлять программы, которыми пользуются сотрудники. Devolutions расширяет свою платформу, добавляя регистрацию устройств и централизованное управление программным обеспечением, чтобы связать эти повседневные задачи с уже действующими механизмами контроля привилегированного доступа.

О возможностях объявили 9 ноября; они открывают первый этап дорожной карты компании по управлению привилегиями на конечных устройствах. Новые функции рассчитаны на совместную работу с существующими системами управления мобильными устройствами, в том числе Microsoft Intune. Управление программным обеспечением на базе UniGetUI позволит администраторам одобрять, устанавливать и обновлять пакеты, не предоставляя пользователям локальных прав администратора.

Ожидается, что новые функции станут доступны всем в декабре 2026 года. Они расширяют возможности платформы: теперь она будет не только контролировать, кто может получить доступ к системе, но и управлять программным обеспечением на зарегистрированных устройствах, сохраняя подключения, учётные данные и процессы работы с привилегиями в едином рабочем пространстве.

Регистрация устройств объединяет контроль доступа с управлением конечными устройствами

Управление привилегированным доступом и программным обеспечением на конечных устройствах решает смежные задачи. PAM контролирует доступ к учётным записям с широкими правами и сеансам, а средства управления конечными устройствами определяют, как устанавливать и обновлять программы на машинах, к которым обращаются через эти учётные записи.

Devolutions планирует добавить зарегистрированные устройства в то же рабочее пространство, которое администраторы используют для PAM. В объявлении описана регистрация устройств через существующие решения MDM: организациям не придётся отказываться от уже сделанных вложений в управление устройствами. В частности, Microsoft Intune назван системой, с которой рассчитана работать новая функциональность.

Практическая цель — отделить обоснованный запрос на установку программного обеспечения от постоянного предоставления прав администратора. Для одобренной установки сотруднику не должно требоваться широкое разрешение, позволяющее впоследствии вносить не связанные с ней изменения. Централизация этого процесса также может уменьшить необходимость переключаться между отдельными инструментами для управления доступом и повседневного обслуживания конечных устройств.

В объявлении не указаны полный перечень поддерживаемых устройств и все менеджеры пакетов, доступные в корпоративной версии. Эти детали реализации будут важны для команд, оценивающих, как декабрьские возможности впишутся в их существующую ИТ-среду.

UniGetUI объединяет несколько менеджеров пакетов в одном интерфейсе

Компонент управления программным обеспечением создан на базе UniGetUI — интерфейса Devolutions с открытым исходным кодом для работы с менеджерами пакетов. Существующий продукт объединяет поиск, установку, обновление и удаление программ в таких системах, как WinGet, Chocolatey, Scoop, Pip, Npm и PowerShell Gallery.

UniGetUI также поддерживает массовые операции и экспорт списков пакетов для использования на другом компьютере. Это помогает понять роль продукта в анонсированном решении: он предоставляет единый способ работы с программным обеспечением из разных экосистем пакетов, а новые корпоративные функции добавят централизованное одобрение и управление зарегистрированными устройствами.

Существующее приложение с открытым исходным кодом следует отличать от нового корпоративного процесса. Текущие возможности UniGetUI дают представление о технической основе решения, но не означают, что в первом централизованном выпуске будут поддерживаться все источники пакетов, параметры и способы развёртывания.

Ролевое разграничение ограничивает полномочия административных учётных записей

Дорожная карта для конечных устройств дополняет недавние усовершенствования PAM, направленные на более точное разграничение привилегий. Администратор рабочего пространства может управлять пользователями и настройками платформы, не получая автоматически доступа к содержимому хранилища. Специальная роль аудитора позволяет сотрудникам служб безопасности и соответствия требованиям проверять журналы действий и метаданные сеансов, не извлекая привилегированные учётные данные.

Такое разграничение полезно поставщикам управляемых услуг, работающим в средах клиентов, а также организациям, где за администрирование платформы, использование учётных данных и проверку действий отвечают разные сотрудники. Широкие административные полномочия не обязательно должны подразумевать доступ ко всем секретам в системе.

Devolutions также объединяет записи о подключениях и учётные данные PAM в одном хранилище. Цель — связать привилегированные учётные данные с подключением, для которого они используются, и управлять всем процессом с помощью единой структуры разрешений.

«Раньше PAM создавали для крупных команд по безопасности с большими бюджетами и запасом в несколько месяцев, но ИТ-команды работают не так», — заявил в объявлении генеральный директор Devolutions Дэвид Эрвьё. Компания позиционирует свою платформу как набор средств контроля, которыми системные администраторы и небольшие ИТ-команды могут пользоваться в повседневной работе.

Ограниченный по времени доступ, смена учётных данных и данные о сеансах

Решение Devolutions для управления привилегированным доступом (PAM) объединяет процессы работы с привилегиями с Remote Desktop Manager и рабочим пространством, размещённым самостоятельно или в облаке. На сайте компании среди составляющих этого подхода указаны обнаружение учётных записей, усиленная аутентификация, предоставление повышенных прав точно в момент необходимости и контроль сеансов.

В этом выпуске пользователи могут запрашивать временную выдачу учетных данных; при этом доступна многофакторная аутентификация. Проверяющие могут одобрять, отклонять или изменять запросы через веб-интерфейс, мобильное приложение или Remote Desktop Manager. По окончании срока выдачи пароли автоматически меняются, а разрешения, предоставленные на определенное время, отзываются.

Одобренные продления позволяют продолжить работу, если она выходит за рамки первоначально отведенного времени. Повторно используемые учетные записи для доступа на определенное время также сохраняют идентификатор, связанный с почтовыми ящиками, лицензиями и историей, а доступ регулируется временными ограничениями и механизмами одобрения. Запись привилегированных сеансов, журналы активности и предварительно настроенные отчеты предоставляют данные для последующей проверки.

Эти возможности охватывают разные этапы жизненного цикла доступа: одобрение до его предоставления, ограничения во время использования и изменение учетных данных или разрешений после него. Эффективность зависит от настроенных организацией политик и систем, включенных в область их действия.

Декабрьский запуск и текущая стоимость PAM

Devolutions планирует представить новые функции регистрации устройств и управления программным обеспечением на Microsoft Ignite 17–20 ноября — до их ожидаемого широкого запуска в декабре 2026 года. Существующий модуль PAM уже доступен; предусмотрен 14-дневный пробный период.

Согласно анонсу, пакет управления привилегированным доступом стоит 650 долларов США в год за одного именного пользователя; оплата производится ежегодно, стандартная поддержка включена. Существующие клиенты могут добавить модуль в текущее рабочее пространство; новым клиентам пакет предоставляет рабочее пространство, в котором он работает. В анонсе не указана отдельная цена для будущих функций управления конечными устройствами.

Это направление развития предполагает более тесную связь между управлением доступом и повседневной работой с конечными устройствами. Объединяя контролируемое использование учетных данных, удаленные подключения и утвержденные операции с программным обеспечением, Devolutions стремится упростить соблюдение принципа минимальных привилегий после того, как первоначальная политика безопасности уже разработана.