Devolutions utökar PAM med enhetsregistrering och centraliserad programvaruhantering

Att ta bort lokala administratörsrättigheter kan minska onödig åtkomst, men IT-team behöver fortfarande ett praktiskt sätt att installera och uppdatera den programvara som medarbetarna använder. Devolutions utökar sin plattform med enhetsregistrering och centraliserad programvaruhantering för att knyta det dagliga arbetet till de kontroller som redan används för privilegierad åtkomst.

Funktionerna tillkännagavs den 9 november och utgör den första fasen i företagets färdplan för hantering av slutpunktsprivilegier. De är utformade för att fungera tillsammans med befintliga system för hantering av mobila enheter, däribland Microsoft Intune, och använder programvaruhantering med stöd av UniGetUI för att låta administratörer godkänna, installera och uppdatera paket utan att ge användarna lokala administratörsrättigheter.

De nya funktionerna väntas bli allmänt tillgängliga i december 2026. De utvidgar plattformens funktion från att styra vem som kan komma åt ett system till att även hantera vilken programvara som körs på registrerade enheter, samtidigt som anslutningar, autentiseringsuppgifter och privilegierade arbetsflöden samlas i en gemensam arbetsyta.

Enhetsregistrering kopplar åtkomstkontroller till arbetet med slutpunkter

Hantering av privilegierad åtkomst och hantering av programvara på slutpunkter löser närliggande problem. PAM styr åtkomsten till konton och sessioner med omfattande behörigheter, medan kontroller för slutpunkter avgör hur programvara installeras och underhålls på de enheter som dessa konton når.

Devolutions planerar att samla registrerade enheter i samma arbetsyta som administratörer använder för PAM. I företagets tillkännagivande beskrivs registrering från befintliga MDM-lösningar, i stället för att organisationer ska behöva överge sina investeringar i enhetshantering. Microsoft Intune nämns uttryckligen som ett system som den nya funktionen är utformad för att komplettera.

Det praktiska målet är att skilja en legitim programvarubegäran från en permanent tilldelning av administratörsbehörighet. En godkänd installation ska inte kräva att en medarbetare får omfattande befogenheter att därefter göra orelaterade ändringar. En centraliserad hantering av arbetsflödet skulle också kunna minska behovet för administratörer att växla mellan separata verktyg för åtkomst och löpande underhåll av slutpunkter.

I tillkännagivandet anges inte hela listan över enheter som stöds eller alla pakethanterare som är tillgängliga i företagsversionen. Dessa implementeringsdetaljer blir viktiga när team bedömer hur funktionerna som lanseras i december passar in i deras befintliga miljö.

UniGetUI samlar flera pakethanterare i ett och samma gränssnitt

Programvaruhanteringskomponenten bygger på UniGetUI, Devolutions gränssnitt med öppen källkod för pakethanterare. Den befintliga produkten samlar sökning, installation, uppdatering och borttagning av programvara från bland annat WinGet, Chocolatey, Scoop, Pip, Npm och PowerShell Gallery.

UniGetUI stöder också massåtgärder och export av paketlistor för användning på en annan enhet. Den bakgrunden bidrar till att förklara verktygets roll i tillkännagivandet: det ger ett gemensamt sätt att hantera programvara som distribueras via olika paketekosystem, medan de kommande företagsfunktionerna tillför centraliserat godkännande och hantering av registrerade enheter.

Den befintliga applikationen med öppen källkod bör skiljas från det nya företagsarbetsflödet. UniGetUIs nuvarande funktioner ger en teknisk bakgrund, men innebär inte att alla paketkällor, alternativ eller distributionsmetoder kommer att stödjas i den första centraliserade versionen.

Avgränsade roller begränsar administratörskontonens räckvidd

Färdplanen för slutpunkter kompletterar de senaste PAM-förbättringarna, som syftar till att göra privilegier mer finfördelade. En arbetsyteadministratör kan hantera användare och plattformsinställningar utan att automatiskt få åtkomst till innehållet i valvet. En särskild revisorroll gör det möjligt för säkerhets- och regelefterlevnadspersonal att granska aktivitetsloggar och sessionsmetadata utan att hämta privilegierade autentiseringsuppgifter.

Den här uppdelningen är användbar för leverantörer av hanterade tjänster som arbetar i flera kundmiljöer och för organisationer där olika personer behöver administrera plattformen, använda autentiseringsuppgifter och granska aktivitet. En omfattande administratörsroll behöver inte innebära behörighet till varje hemlighet i systemet.

Devolutions samlar också anslutningsposter och PAM-autentiseringsuppgifter i ett och samma valv. Målet är att koppla en privilegierad autentiseringsuppgift till den anslutning där den används, med en gemensam behörighetsstruktur för hela arbetsflödet.

”PAM har historiskt varit utformat för stora säkerhetsteam med stora budgetar och månader till förfogande, men så fungerar inte IT-team”, sade Devolutions vd David Hervieux i tillkännagivandet. Företaget positionerar sin plattform kring kontroller som systemadministratörer och mindre IT-team kan använda i det dagliga arbetet.

Tidsbegränsad åtkomst, rotation och sessionsunderlag

Devolutions PAM-lösning integrerar privilegierade arbetsflöden med Remote Desktop Manager och en arbetsyta som antingen är självhostad eller molnbaserad. På företagets webbplats beskrivs kontoupptäckt, förstärkt autentisering, tidsbegränsad behörighetshöjning och sessionsövervakning som delar av lösningen.

I den här versionen kan användare begära tidsbegränsad utcheckning av autentiseringsuppgifter, med möjlighet till multifaktorautentisering. Granskare kan godkänna, avslå eller ändra förfrågningar via webbgränssnittet, mobilappen eller Remote Desktop Manager. När en utcheckning avslutas byts lösenorden automatiskt och behörigheter för just-in-time-åtkomst tas bort.

Godkända förlängningar kan användas när arbetet pågår längre än den ursprungliga tidsramen. Återanvändbara just-in-time-konton bevarar också identiteten som är kopplad till brevlådor, licenser och historik, samtidigt som tidsgränser och godkännandekontroller styr åtkomsten. Inspelningar av privilegierade sessioner, aktivitetsloggar och fördefinierade rapporter utgör underlag för senare granskning.

De här funktionerna hanterar olika skeden i åtkomstens livscykel: godkännande före åtkomst, begränsningar under användningen samt ändringar av autentiseringsuppgifter eller behörigheter efteråt. Hur effektiva de är beror på vilka policyer en organisation konfigurerar och vilka system den omfattar.

Utrullning i december och aktuella PAM-priser

Devolutions planerar att demonstrera de nya funktionerna för enhetsregistrering och programvaruhantering på Microsoft Ignite den 17–20 november, inför den förväntade allmänna tillgängligheten i december 2026. Den befintliga PAM-modulen är tillgänglig redan nu och kan provas kostnadsfritt i 14 dagar.

Enligt tillkännagivandet kostar paketet Privileged Access Management 650 dollar per namngiven användare och år, faktureras årsvis och inkluderar standardsupport. Befintliga kunder kan lägga till modulen i sin nuvarande arbetsyta. För nya kunder ingår arbetsytan där paketet körs. I tillkännagivandet anges inget separat pris för de kommande funktionerna för slutpunkter.

Utvecklingen går mot en närmare koppling mellan åtkomststyrning och det dagliga arbetet med slutpunkter. Genom att kombinera kontrollerade autentiseringsuppgifter, fjärranslutningar och godkända programvaruåtgärder försöker Devolutions göra det enklare att upprätthålla principen om minsta möjliga behörighet även efter att den ursprungliga säkerhetspolicyn har utformats.