Devolutions mở rộng PAM với tính năng đăng ký thiết bị và quản lý phần mềm tập trung

Việc loại bỏ quyền quản trị viên cục bộ có thể giảm bớt quyền truy cập không cần thiết, nhưng các nhóm CNTT vẫn cần một cách thiết thực để cài đặt và cập nhật phần mềm mà nhân viên sử dụng. Devolutions đang mở rộng nền tảng bằng tính năng đăng ký thiết bị và quản lý phần mềm tập trung, nhằm kết nối công việc thường ngày đó với các cơ chế kiểm soát vốn đã được dùng để quản lý quyền truy cập đặc quyền.

Các tính năng này được công bố vào ngày 9 tháng 11, đánh dấu giai đoạn đầu tiên trong lộ trình quản lý đặc quyền trên thiết bị đầu cuối của công ty. Chúng được thiết kế để hoạt động cùng các hệ thống quản lý thiết bị di động hiện có, bao gồm Microsoft Intune, đồng thời sử dụng tính năng quản lý phần mềm do UniGetUI hỗ trợ để quản trị viên có thể phê duyệt, cài đặt và cập nhật các gói phần mềm mà không cần cấp quyền quản trị viên cục bộ cho người dùng.

Các tính năng mới dự kiến sẽ được cung cấp rộng rãi vào tháng 12 năm 2026. Chúng mở rộng phạm vi của nền tảng, từ việc kiểm soát ai có thể truy cập hệ thống sang quản lý phần mềm chạy trên các thiết bị đã đăng ký, đồng thời duy trì các kết nối, thông tin xác thực và quy trình đặc quyền trong một không gian làm việc chung.

Đăng ký thiết bị kết nối các cơ chế kiểm soát truy cập với hoạt động trên thiết bị đầu cuối

Quản lý truy cập đặc quyền và quản lý phần mềm trên thiết bị đầu cuối giải quyết những vấn đề có liên quan. PAM kiểm soát quyền truy cập vào các tài khoản và phiên làm việc có quyền hạn cao; còn các cơ chế kiểm soát trên thiết bị đầu cuối quyết định cách phần mềm được cài đặt và duy trì trên những máy mà các tài khoản đó truy cập.

Devolutions dự định đưa các thiết bị đã đăng ký vào cùng không gian làm việc mà quản trị viên sử dụng cho PAM. Thông báo của công ty mô tả việc đăng ký thiết bị từ các giải pháp MDM hiện có, thay vì yêu cầu các tổ chức từ bỏ những khoản đầu tư vào quản lý thiết bị. Microsoft Intune được nêu đích danh là một hệ thống mà chức năng mới được thiết kế để bổ trợ.

Mục tiêu thực tế là tách biệt yêu cầu phần mềm chính đáng khỏi việc cấp quyền quản trị viên vĩnh viễn. Việc cài đặt đã được phê duyệt không nên đòi hỏi phải trao cho nhân viên quyền hạn rộng để thực hiện những thay đổi không liên quan sau đó. Tập trung quy trình này cũng có thể giảm nhu cầu để quản trị viên chuyển đổi giữa các công cụ riêng biệt phục vụ việc truy cập và bảo trì thiết bị đầu cuối thường nhật.

Thông báo không nêu rõ danh mục đầy đủ các thiết bị được hỗ trợ hoặc mọi trình quản lý gói có trong phiên bản dành cho doanh nghiệp. Những chi tiết triển khai này sẽ rất quan trọng khi các nhóm đánh giá mức độ phù hợp của các tính năng dự kiến ra mắt vào tháng 12 với hệ thống thiết bị hiện có.

UniGetUI tích hợp nhiều trình quản lý gói vào một giao diện

Thành phần quản lý phần mềm được xây dựng dựa trên UniGetUI, giao diện mã nguồn mở dành cho các trình quản lý gói của Devolutions. Sản phẩm hiện có tập hợp các chức năng tìm kiếm, cài đặt, cập nhật và gỡ bỏ phần mềm trên những hệ thống như WinGet, Chocolatey, Scoop, Pip, Npm và PowerShell Gallery.

UniGetUI cũng hỗ trợ các thao tác hàng loạt và xuất danh sách gói để sử dụng trên một máy khác. Những chức năng sẵn có này giúp giải thích vai trò của sản phẩm trong thông báo: cung cấp một cách thức chung để xử lý phần mềm được phân phối qua nhiều hệ sinh thái gói khác nhau, trong khi các tính năng doanh nghiệp sắp ra mắt sẽ bổ sung cơ chế phê duyệt và quản lý tập trung cho các thiết bị đã đăng ký.

Cần phân biệt ứng dụng mã nguồn mở hiện có với quy trình dành cho doanh nghiệp mới. Các chức năng hiện tại của UniGetUI cung cấp bối cảnh kỹ thuật, nhưng không có nghĩa là mọi nguồn gói, tùy chọn hoặc phương thức triển khai đều sẽ được hỗ trợ trong phiên bản tập trung đầu tiên.

Vai trò được phân quyền rõ ràng giúp giới hạn phạm vi quyền của tài khoản quản trị

Lộ trình dành cho thiết bị đầu cuối được triển khai song song với những cải tiến PAM gần đây, hướng đến việc phân quyền chi tiết hơn. Quản trị viên Workspace có thể quản lý người dùng và các thiết lập nền tảng mà không mặc nhiên có quyền truy cập nội dung trong kho lưu trữ. Vai trò Kiểm toán viên chuyên biệt cho phép nhân viên phụ trách bảo mật và tuân thủ kiểm tra nhật ký hoạt động cùng siêu dữ liệu phiên mà không cần lấy thông tin xác thực đặc quyền.

Sự phân tách này hữu ích với các nhà cung cấp dịch vụ được quản lý làm việc trên nhiều môi trường khách hàng, cũng như các tổ chức cần phân công những người khác nhau quản trị nền tảng, sử dụng thông tin xác thực và rà soát hoạt động. Chức danh quản trị viên có phạm vi rộng không nhất thiết đồng nghĩa với quyền kiểm soát mọi thông tin bí mật trong hệ thống.

Devolutions cũng kết hợp các mục kết nối và thông tin xác thực PAM trong cùng một kho lưu trữ. Mục tiêu là gắn thông tin xác thực đặc quyền với kết nối sử dụng thông tin đó, đồng thời áp dụng một cơ cấu quyền duy nhất để quản lý toàn bộ quy trình.

“Trước đây, PAM thường được xây dựng cho các đội ngũ bảo mật lớn, có ngân sách dồi dào và nhiều tháng để triển khai, nhưng đó không phải cách các nhóm CNTT làm việc”, CEO Devolutions David Hervieux cho biết trong thông báo. Công ty định vị nền tảng của mình là giải pháp cung cấp các cơ chế kiểm soát mà quản trị viên hệ thống và các nhóm CNTT quy mô nhỏ có thể sử dụng trong công việc thường nhật.

Truy cập có thời hạn, luân chuyển thông tin xác thực và bằng chứng phiên làm việc

Giải pháp PAM của Devolutions tích hợp các quy trình đặc quyền với Remote Desktop Manager và một không gian làm việc tự lưu trữ hoặc trên đám mây. Trang web của công ty mô tả việc phát hiện tài khoản, xác thực tăng cường, nâng quyền đúng thời điểm và giám sát phiên làm việc là những thành phần của phương thức này.

Trong bản phát hành này, người dùng có thể yêu cầu mượn thông tin xác thực trong thời hạn nhất định, với tùy chọn xác thực đa yếu tố. Người xét duyệt có thể phê duyệt, từ chối hoặc chỉnh sửa yêu cầu thông qua giao diện web, ứng dụng di động hoặc Remote Desktop Manager. Khi hết thời hạn mượn, mật khẩu sẽ tự động được thay đổi và các quyền truy cập cấp đúng lúc sẽ bị thu hồi.

Các lần gia hạn được phê duyệt có thể đáp ứng những công việc kéo dài quá thời hạn ban đầu. Tài khoản cấp quyền đúng lúc có thể tái sử dụng cũng duy trì danh tính gắn với hộp thư, giấy phép và lịch sử, trong khi giới hạn thời gian và các bước phê duyệt kiểm soát quyền truy cập. Tính năng ghi lại phiên làm việc có đặc quyền, nhật ký hoạt động và báo cáo được xác định trước cung cấp bằng chứng để xem xét sau này.

Các khả năng này xử lý những giai đoạn khác nhau trong vòng đời truy cập: phê duyệt trước khi cấp quyền, giới hạn trong quá trình sử dụng và thay đổi thông tin xác thực hoặc quyền sau đó. Hiệu quả của chúng phụ thuộc vào các chính sách mà tổ chức thiết lập và những hệ thống được đưa vào phạm vi quản lý.

Kế hoạch triển khai vào tháng 12 và giá PAM hiện tại

Devolutions dự định giới thiệu các tính năng mới về đăng ký thiết bị và quản lý phần mềm tại Microsoft Ignite, diễn ra từ ngày 17–20 tháng 11, trước thời điểm dự kiến đưa các tính năng này vào sử dụng rộng rãi vào tháng 12 năm 2026. Mô-đun PAM hiện có vẫn đang được cung cấp, kèm bản dùng thử 14 ngày.

Theo thông báo, gói Quản lý quyền truy cập đặc quyền có giá 650 USD mỗi năm cho mỗi người dùng được chỉ định, thanh toán hằng năm và bao gồm dịch vụ hỗ trợ tiêu chuẩn. Khách hàng hiện tại có thể thêm mô-đun này vào không gian làm việc đang sử dụng; với khách hàng mới, gói dịch vụ bao gồm cả không gian làm việc mà mô-đun vận hành trên đó. Thông báo không nêu giá riêng cho các tính năng quản lý thiết bị đầu cuối sắp ra mắt.

Định hướng này nhằm gắn kết chặt chẽ hơn giữa quản trị quyền truy cập và các hoạt động thường ngày trên thiết bị đầu cuối. Bằng cách kết hợp thông tin xác thực được kiểm soát, kết nối từ xa và các thao tác phần mềm được phê duyệt, Devolutions đang tìm cách giúp duy trì nguyên tắc đặc quyền tối thiểu dễ dàng hơn sau khi chính sách bảo mật ban đầu được soạn thảo.