MDM-платформы научились ставить ПО без прав админа

Что анонсировали

9 ноября 2026 года Devolutions, канадский разработчик средств управления привилегированным доступом (PAM), объявила о первой фазе дорожной карты endpoint privilege management. Новость распространило информагентство PR Newswire; подробности функциональности и дорожной карты компания опубликовала на собственной странице релизов. Суть обновления в двух функциях: IT-команда может зачислять (enroll) устройства напрямую из уже работающей MDM-системы, а затем централизованно одобрять, устанавливать и обновлять софт на этих устройствах — без выдачи сотруднику локальных прав администратора на его рабочей машине или планшете.

Это расширяет PAM-функциональность Devolutions за пределы «кто имеет доступ к системам» в сторону «какое ПО вообще работает на этих устройствах». По словам CEO компании Дэвида Эрвьё, раньше PAM проектировался для крупных команд безопасности с большими бюджетами, а сейчас на фоне требований страховщиков киберрисков и аудиторов этот же контроль нужен и IT-командам без выделенного security-отдела — инструмент, который разворачивается за часы и используется каждый день, не замедляя работу.

Почему это важно для парка устройств

Для компаний, у которых в полях работают десятки или сотни защищённых планшетов, ТСД и смартфонов, разделение «кто имеет доступ» и «что установлено на устройстве» — не абстракция. У линейного сотрудника на складе или в разъездах обычно нет и не должно быть прав локального администратора: иначе на терминал может попасть что угодно, от неподписанного apk до несовместимой версии клиента 1С. Но без централизованного механизма установки IT-отдел либо сам физически обходит каждое устройство, либо вынужден временно повышать права пользователю — и то, и другое плохо масштабируется на парк из полусотни устройств и больше.

Enrollment устройств из уже работающей MDM-системы, а не параллельно ей, важен ровно потому, что компании редко готовы менять MDM-платформу ради одной функции управления софтом. Но сама по себе готовая коробочная функция одобрения и установки пакетов закрывает типовой сценарий — она не знает, как это должно стыковаться с внутренним реестром разрешённого ПО компании, с её процессом списания и ввода устройств в эксплуатацию или с нестандартным клиентским софтом, под который написана часть внутренних систем. Эту интеграционную прослойку между коробочным MDM-модулем и остальным корпоративным ландшафтом обычно собирает не вендор MDM, а партнёр, который делает кастомную разработку под ключ, включая стыковку готовых MDM- и PAM-инструментов с внутренними системами компании — от учёта устройств до workflow согласований, которые в вендорской коробке просто не предусмотрены.

Чего готовая платформа не решает

Devolutions демонстрирует новую функциональность на конференции Microsoft Ignite 17-20 ноября — это всё ещё анонс дорожной карты, а не завершённый продукт с публичным GA и ценами для всех тарифов. Для компании, которая использует смешанный парк устройств — часть на Android MDM, часть на Windows-управлении через другую систему, — остаётся открытым вопрос, как централизованная установка софта будет работать одинаково по всем платформам, а не только по той, под которую в первую очередь написан модуль.

Второй момент, который release не закрывает: сам факт «установка без прав админа» не отменяет необходимости решить, кто и по какому процессу одобряет конкретный пакет для конкретной группы устройств — это организационный вопрос, который должен лечь поверх любого инструмента, а не замениться им. Для парка защищённых устройств в поле это означает, что выбор MDM с функцией централизованной установки софта — лишь один из элементов, а реальная экономия времени IT-отдела приходит от того, насколько плотно этот модуль стыкуется с остальными процессами компании.