Devolutions розширює можливості PAM: реєстрація пристроїв і централізоване керування програмним забезпеченням

Позбавлення прав локального адміністратора може зменшити надмірний доступ, але ІТ-командам і далі потрібен практичний спосіб встановлювати й оновлювати програмне забезпечення, яким користуються працівники. Devolutions розширює свою платформу функціями реєстрації пристроїв і централізованого керування програмним забезпеченням, прагнучи поєднати цю повсякденну роботу із засобами контролю, які вже використовуються для керування привілейованим доступом.

Про ці можливості оголосили 9 листопада; вони становлять перший етап дорожньої карти компанії з керування привілеями на кінцевих пристроях. Їх розроблено для роботи з наявними системами керування мобільними пристроями, зокрема Microsoft Intune. Керування програмним забезпеченням на базі UniGetUI дає змогу адміністраторам схвалювати, встановлювати й оновлювати пакети, не надаючи користувачам прав локального адміністратора.

Очікується, що нові функції стануть загальнодоступними в грудні 2026 року. Вони розширюють можливості платформи: від контролю доступу до систем — до керування програмним забезпеченням на зареєстрованих пристроях, водночас зберігаючи підключення, облікові дані та привілейовані робочі процеси в спільному робочому просторі.

Реєстрація пристроїв поєднує контроль доступу з роботою на кінцевих пристроях

Керування привілейованим доступом і програмним забезпеченням на кінцевих пристроях допомагає розв’язувати пов’язані проблеми. PAM контролює доступ до облікових записів із широкими правами та сеансів, а засоби керування кінцевими пристроями визначають, як встановлюється й обслуговується програмне забезпечення на машинах, до яких надають доступ ці облікові записи.

Devolutions планує додати зареєстровані пристрої до того самого робочого простору, яким адміністратори користуються для PAM. В оголошенні йдеться про реєстрацію пристроїв із наявних рішень MDM, тож організаціям не доведеться відмовлятися від уже зроблених інвестицій у керування пристроями. Microsoft Intune прямо названо системою, з якою має доповнюватися нова функціональність.

Практична мета — відокремити обґрунтований запит на програмне забезпечення від постійного надання прав адміністратора. Схвалення встановлення не має вимагати надання працівникові широких повноважень для подальших не пов’язаних із цим змін. Централізація цього процесу також може зменшити потребу адміністраторів перемикатися між окремими інструментами для керування доступом і повсякденного обслуговування кінцевих пристроїв.

В оголошенні не уточнено повний перелік підтримуваних пристроїв і всі менеджери пакетів, доступні у корпоративному випуску. Ці деталі реалізації матимуть значення для команд, які оцінюватимуть, як грудневі функції впишуться в наявне ІТ-середовище.

UniGetUI об’єднує кілька менеджерів пакетів в одному інтерфейсі

Компонент керування програмним забезпеченням побудовано на базі UniGetUI — розробленого Devolutions інтерфейсу з відкритим вихідним кодом для менеджерів пакетів. Наявний продукт об’єднує пошук, встановлення, оновлення та видалення програмного забезпечення в таких системах, як WinGet, Chocolatey, Scoop, Pip, Npm і PowerShell Gallery.

UniGetUI також підтримує пакетні операції та експорт списків пакетів для використання на іншому пристрої. Це допомагає зрозуміти його роль в оголошенні: він забезпечує єдиний спосіб роботи з програмним забезпеченням, яке поширюється через різні екосистеми пакетів, а майбутні корпоративні функції додають централізоване схвалення та керування зареєстрованими пристроями.

Наявну програму з відкритим вихідним кодом і новий корпоративний робочий процес слід розрізняти. Поточні можливості UniGetUI дають технічний контекст, але не підтверджують, що в першому централізованому випуску підтримуватимуться всі джерела пакетів, параметри чи способи розгортання.

Розмежування ролей обмежує повноваження адміністративних облікових записів

Дорожня карта розвитку функцій для кінцевих пристроїв доповнює нещодавні вдосконалення PAM, спрямовані на точніше розмежування привілеїв. Адміністратор робочого простору може керувати користувачами й параметрами платформи, не отримуючи автоматично доступу до вмісту сховища. Окрема роль аудитора дає змогу фахівцям із безпеки та відповідності вимогам переглядати журнали активності й метадані сеансів, не отримуючи привілейованих облікових даних.

Таке розмежування корисне для постачальників керованих послуг, які працюють у середовищах клієнтів, і для організацій, де адміністрування платформи, використання облікових даних і перевірку активності доручено різним людям. Широкі адміністративні повноваження не обов’язково означають доступ до кожного секрету в системі.

Devolutions також об’єднує записи підключень і облікові дані PAM в одному сховищі. Мета полягає в тому, щоб привілейовані облікові дані були пов’язані з підключенням, у якому вони використовуються, а весь робочий процес регулювався єдиною структурою дозволів.

«Історично PAM створювали для великих команд із безпеки, значними бюджетами й кількома місяцями на впровадження, але ІТ-команди працюють не так», — сказав в оголошенні генеральний директор Devolutions Девід Ерв’є. Компанія позиціонує свою платформу як набір засобів контролю, якими системні адміністратори та невеликі ІТ-команди можуть користуватися в повсякденній роботі.

Обмежений у часі доступ, ротація облікових даних і дані про сеанси

Пропозиція Devolutions PAM поєднує привілейовані робочі процеси з Remote Desktop Manager і робочим простором, розміщеним на власній інфраструктурі або в хмарі. На сайті компанії вказано, що цей підхід охоплює виявлення облікових записів, додаткову автентифікацію, надання підвищених привілеїв на потрібний час і контроль сеансів.

У цьому випуску користувачі можуть запитувати тимчасове отримання облікових даних; доступна багатофакторна автентифікація. Особи, які розглядають запити, можуть схвалити, відхилити або змінити їх через вебінтерфейс, мобільний застосунок або Remote Desktop Manager. Після завершення періоду доступу паролі автоматично змінюються, а дозволи, надані за принципом доступу точно вчасно, скасовуються.

Схвалене продовження може охопити роботу, яка триває довше за початково відведений період. Повторно використовувані облікові записи з доступом точно вчасно також дають змогу зберігати ідентичність, пов’язану з поштовими скриньками, ліцензіями та історією, а доступ регулюється часовими обмеженнями й контролем схвалення. Записи привілейованих сеансів, журнали дій і заздалегідь визначені звіти надають матеріали для подальшого аналізу.

Ці можливості охоплюють різні етапи життєвого циклу доступу: схвалення до його надання, обмеження під час використання та зміну облікових даних або дозволів після завершення. Їхня ефективність залежить від політик, налаштованих організацією, і систем, на які поширюється їхня дія.

Грудневе впровадження та поточна вартість PAM

Devolutions планує продемонструвати нові функції реєстрації пристроїв і керування програмним забезпеченням на Microsoft Ignite, що відбудеться 17–20 листопада, перед очікуваним загальним запуском у грудні 2026 року. Наявний модуль PAM уже доступний; його можна випробувати протягом 14 днів.

Згідно з оголошенням, пакет керування привілейованим доступом коштує 650 доларів США на рік за кожного іменованого користувача; оплата здійснюється щороку, стандартна підтримка включена. Наявні клієнти можуть додати модуль до свого поточного робочого простору; новим клієнтам пакет надається разом із робочим простором, у якому він працює. У випуску не вказано окрему ціну на майбутні функції керування кінцевими пристроями.

Цей напрямок передбачає тісніший зв’язок між керуванням доступом і повсякденною роботою з кінцевими пристроями. Поєднуючи контроль облікових даних, віддалені підключення та схвалені операції з програмним забезпеченням, Devolutions намагається спростити постійне дотримання принципу найменших привілеїв після розроблення початкової політики безпеки.