Microsoft Intune 服务版本 2610 被 Microsoft 列为 2026 年 10 月 26 日当周更新，它改变了管理员管理 AOSP 应用、Apple 路由和更新、Windows 安全性、证书基础结构、权限及脚本交付的方式。该版本包含多项配置变更，会直接影响策略、防火墙和迁移工作。
对于 Intune 管理员而言，信号很明确：此版本并非围绕单一的重磅功能，而是移除不受支持的路径，并提供更好的控制依据。您的团队应将 2610 视为针对 Apple 策略、Windows 连接性、证书运营和委派管理的审查周期。
1. AOSP 引用应用管理现有包
Microsoft 表示，Intune 现已支持 AOSP 引用应用类型，该类型通过包名称标识应用，而不要求上传 APK。此功能适用于已存在于受支持 AOSP 设备上的 OEM、预装或外部部署的应用。
“必需”分配会取消隐藏现有应用，而“卸载”分配会将其隐藏。这不是另一种应用分发机制，而是针对已驻留在设备上的软件提供的控制层。
Microsoft 的 AOSP 应用文档还指出，引用应用可以接收基于 JSON 的应用配置策略。由于 Intune 没有可用于获取托管配置架构的上传 APK，因此不支持 Configuration designer 和 Connected Apps。
您可以控制的内容： 您可以通过包名称创建引用应用，为其分配“必需”或“卸载”意图，并使用手动编写的 JSON 配置对其进行定向。
为何重要： 使用 OEM 镜像或外部部署系统的组织，可以在 Intune 中管理设备上已存在的应用，而无需重复分发包。代价是更依赖准确的包名称及供应商提供的 JSON 架构。
管理员操作： 确认每个目标包已存在于设备上，从 OEM 或应用供应商处获取其准确包名称，并在有限的 AOSP 组中测试可见性行为和 JSON 设置。
2. Apple VPN 配置文件获得 Enforce Routes 支持
Microsoft 表示，Intune 现已在 iOS、iPadOS 和 macOS VPN 配置文件中支持 Apple 的 Enforce Routes 功能。管理员通过“包括所有网络”和“排除本地网络”定义预期行为，之后 Intune 会派生出相应的 Enforce Routes 配置。
根据 Microsoft 的 Apple VPN 文档，最终行为遵循 Apple 的路由语义。“包括所有网络”会将大部分流量导向隧道，而“排除本地网络”允许本地服务保留在隧道之外。
您可以控制的内容： 您可以表达流量是否应广泛使用 VPN，以及本地网络流量是否应保持直接可访问。
为何重要： 明确的路由可减少因不明确的路由优先级导致流量绕过或去匿名化的可能性。这是一项安全控制，但错误的组合也可能干扰对本地打印机、附近服务或具有特殊路由依赖的资源的访问。
管理员操作： 审查现有 Apple VPN 配置文件，记录预期路由行为，并在变更生产分配前测试全设备和按应用 VPN 场景。
3. 旧版 Apple 更新工作负载已移除
Microsoft 表示，Intune 正在移除旧版 Apple MDM 软件更新工作负载，因为 Apple 已在 OS 27 中弃用了底层命令和有效负载。管理员必须使用 Apple 声明式设备管理更新策略，才能继续管理软件更新。
Microsoft 的 Apple 更新规划指南将声明式设备管理定位为受支持的替代方案。在该模型下，管理员声明所需的更新行为，而设备管理更多下载、提示、准备和安装生命周期。
这不是 UI 清理，而是移除了其底层 Apple 机制已不再受支持的控制项。
这意味着： 围绕旧版 MDM 更新命令构建的现有操作文档、自动化和策略审查现已过时。受支持的路径是声明式更新强制执行及相关软件更新设置。
为何重要： 如果策略仍显示在内部运行手册中，但已不再映射至受支持的设备命令，就会产生虚假的保障。这是合规性和补丁治理问题。
管理员操作： 清点旧版 Apple 更新配置，以声明式策略替换它们，并在有代表性的 iOS、iPadOS 和 macOS 设备上验证截止日期和用户提示行为。
4. MEFERI OEMConfig 支持扩展至 Android Enterprise
Microsoft 已为 Android Enterprise 设备添加对 MEFERI OEMConfig 应用的支持，该应用的包名称为 com.meferi.oemconfig。管理员可以使用 Intune 现有的 OEMConfig 工作流部署通过 MEFERI OEM 提供架构公开的设置。
所需工作流是从 Managed Google Play 添加应用、对其进行分配，并为架构包创建 OEMConfig 配置文件。可用设置由 MEFERI 而非 Intune 定义。
您可以控制的内容： 您的团队可以通过标准 Intune OEMConfig 策略模型配置 MEFERI 特定的设备功能。
为何重要： 当所需设置通过 OEM 架构公开时，MEFERI 设备群不再需要单独的配置变通方法。由于 OEM 控制可用的键和值，因此架构变更仍需要测试。
管理员操作： 从 Managed Google Play 添加 com.meferi.oemconfig，将其分配给试点设备组，检查公开的架构，并在扩大部署前测试策略冲突。
5. Setup Assistant 旧版身份验证终止
Microsoft 表示，Intune 已终止对使用用户关联的 iOS、iPadOS 和 macOS 自动设备注册配置文件中 Setup Assistant 旧版身份验证的支持。现有配置文件会自动更新为采用现代身份验证的 Setup Assistant。
管理员在创建或编辑配置文件时已无法使用旧版选项。已通过这些配置文件注册的设备将保持注册状态且不受影响。
这意味着： 直接风险并非设备取消注册，而是未来使用自动更新配置文件的设备将经历注册工作流变更。
为何重要： 自动注册期间的身份验证行为会影响用户提示、支持流程和条件访问顺序。自动配置文件更新仍需要运营验证。
管理员操作： 审查受影响的自动设备注册配置文件，在每个相关 Apple 平台上执行一次全新注册，并更新服务台文档以反映现代身份验证提示。
6. Administrator protection 扩展至 Intune 策略
Microsoft 已在终结点安全性 Account protection 策略中增加两项 Administrator protection 设置。在受支持的 Windows 11 版本上，管理员可以配置 Administrator Approval Mode 类型，并选择与 Administrator protection 一起使用的提升提示行为。
Microsoft 还表示，Windows 11 版本 24H2 和 25H2 的 settings catalog 支持相同的两项控制。这为配置该行为提供了两个 Intune 策略入口。
您可以控制的内容： 您可以定义 Administrator Approval Mode 的运行方式，以及提升提示在受支持 Windows 设备上的显示方式。
为何重要： 提升行为现已成为明确的策略决策，而不再是逐台设备的假设。在 Account protection 和 settings catalog 中重复配置可能造成可避免的策略冲突。
管理员操作： 为这些设置选择一个策略权限来源，定向至受支持的 Windows 试点组，并在广泛分配前审查生成的策略状态。
7. Windows 推送连接性需要进行防火墙审查
Microsoft 表示，它改进了依赖推送通知的 Windows 场景的连接性，包括设备操作、Win32 应用、PowerShell 脚本和 Remediations。Microsoft 建议更新防火墙规则以包含一个新的终结点，并查阅当前的 Intune 和 Windows Push Notification Services 依赖项列表。
所监测的发行条目未说明终结点值本身。管理员应使用 Microsoft 当前的网络要求，而不是从较旧的防火墙基线复制地址。
为何重要： 被阻止的推送路径可能同时延迟多个运营工作流。当根本问题是网络访问时，这可能表现为应用、脚本或设备操作失败。
管理员操作： 将出站防火墙和代理规则与 Microsoft 当前的终结点要求进行比较，从有代表性的网络区段进行测试，并确认设备操作和脚本通知能到达受管理的 Windows 设备。
8. Apple OS 27 DDM 数据进入设备清单
Microsoft 表示，Intune 设备清单现已包含运行 OS 27 的 Apple 设备的声明式设备管理状态数据。新增清单涵盖硬件组件运行状况、增强日志记录会话、内容缓存状态以及 Apple MDM 和安全状态。
这些状态可能包括注册类型、等待配置和锁定模式。Microsoft 指出，可用值取决于设备的 OS、硬件、注册状态和声明式管理功能。
您可以控制的内容： 此变更提供额外的清单依据，而非新的强制执行机制。
为何重要： 支持和安全团队可以利用新增状态数据区分配置、硬件运行状况、缓存和注册条件，而无需完全依赖用户报告。可用性会有所不同，因此缺失值不应自动被视为失败。
管理员操作： 审查有代表性的 OS 27 设备的清单输出，并决定哪些新属性应纳入支持流程、合规性调查和运营报告。
9. 代理运行时保护正式发布
Microsoft 表示，适用于 Microsoft Defender for Endpoint 代理运行时保护设置的终结点安全性模板现已正式发布。该模板不再带有预览标识，并包含一项新的 AI 代理运行时检查设置。
您可以控制的内容： 管理员可以通过终结点安全性模板为 Windows 设备配置受支持的运行时保护设置，包括 AI 代理运行时检查。
为何重要： 正式发布使部署决策从预览评估转向生产策略规划，但这并不意味着无需测试兼容性和报告行为。
管理员操作： 审查任何预览期分配，将其与正式发布的模板进行比较，在受控 Windows 组中测试 AI 代理运行时检查，并在扩展前记录回滚标准。
10. Certificate Connector 运行状况显示在管理中心
Certificate Connector for Microsoft Intune 现已在 Intune 管理中心公开运行状况和状态信号。Microsoft 表示，这些指示器可识别诸如无法访问的证书颁发机构、服务帐户缺少签发或撤销证书的权限，以及证书模板与 PKCS 配置文件不匹配等情况。
每个信号均包含调查和修正指导。这弥合了证书策略分配与证书签发之间的运营可见性缺口。
为何重要： 证书故障可能在下游表现为访问、登录或合规性问题。连接器级运行状况依据让管理员可以先调查签发路径，而不是将每个失败设备都视为孤立的终结点问题。
管理员操作： 建立定期连接器运行状况审查，为证书颁发机构和服务帐户故障分配责任人，并将新信号纳入证书事件运行手册。
11. 范围限定 RBAC 权限正式发布
Microsoft 表示，Intune 基于角色的访问控制的范围限定权限现已正式发布。具有不同范围标记的角色分配所授予的权限将独立应用，而非合并。
Microsoft 建议在启用范围限定权限之前使用 Permissions Assessment Report。该报告是必需的规划控制，因为当独立范围的分配取代合并行为时，有效管理员访问权限可能发生变化。
为何重要： 这不是表面上的 RBAC 调整，而是改变了跨范围边界计算委派访问的方式。
对于通过范围标记划分区域、业务部门或管理团队的组织，新行为可以更好地保留预期边界。但它也可能移除管理员此前通过合并分配获得的访问权限。
管理员操作： 运行 Permissions Assessment Report，识别有效访问权限将发生变化的管理员，记录例外情况，并仅在受影响的支持和运营团队批准结果后启用范围限定权限。
12. Windows 脚本获得更快的基于推送交付
Microsoft 表示，Intune 现会对管理员发起和服务端发起的 Windows 脚本变更使用推送通知。受管理设备可在脚本变更后更快地签入，而不必仅等待正常轮询间隔。
创建和分配脚本的工作流没有变化，改变的是交付触发方式。
为何重要： 更快的通知可以缩短脚本变更与设备处理之间的时间间隔，这对于修正和时间敏感的配置工作非常有用。该改进仍依赖正常运行的推送连接性，这使得版本 2610 中的防火墙审查具有运营重要性。
管理员操作： 从具有不同代理和防火墙路径的网络验证脚本交付，比较实际观察到的签入行为，并为离线或无法接收推送通知的设备保留现实的部署窗口。
更大的图景
- 完成 Apple 迁移。 将软件更新迁移至声明式设备管理，验证自动注册期间的现代身份验证，并将 VPN 路由作为协调一致的 Apple 工作流进行审查。
- 将连接性视为依赖项。 在根据交付速度评判设备操作、Win32 应用、脚本或 Remediations 之前，先更新 Windows 推送允许列表。
- 试点新的安全控制。 在受控组中测试 Administrator protection 和代理运行时检查，并为重叠设置指定一个有文档记录的策略权限来源。
- 使用新依据。 将 Certificate Connector 运行状况、Apple OS
27清单和 Permissions Assessment Report 纳入运营审查。 - 验证供应商定义的 Android 控制。 在生产分配前确认 AOSP 包名称、JSON 架构和 MEFERI OEMConfig 行为。
敬请关注更多 Intune 更新，并且一如既往，在部署到生产环境之前请进行充分测试！