Microsoft 2026 年 10 月的 Intune 更新为商业租户中的 Windows 设备新增了 STIG 审核基线。该功能可按设置和按设备提供结果，同时保持设备配置不变。
对于 Intune 管理员而言，信号很明确：这是一层评估功能，而不是强制执行策略。您的团队获得了一种结构化方法来发现受支持的配置差距，但许可、手动验证和修复仍属于运营职责。
1. 面向商业 Windows 设备的 STIG 审核基线
Microsoft 的 Intune What’s New 条目指出，商业租户现在可以根据 Security Technical Implementation Guide 建议审核 Windows 设备。该基线会评估受支持的自动检查，并报告结果而不更改设备设置。
这并不是自动加固。它是用于规划修复的证据来源。
您可以控制的内容： 管理员可以按单个设置和按设备审查审核发现结果。这一区分支持两种实用视角：环境中反复出现的配置差距，以及需要调查的设备特定例外情况。
发行说明将自动评估限制为受支持的检查。需要手动验证的规则必须单独评估。
为何重要： 按设置和按设备提供的可见性可以帮助您的团队确定工作优先级，而不是将该基线视为一份没有区别的检查清单。经常观察到的差距可能需要进行更广泛的配置变更，而孤立结果则可能需要进行设备级审查。
非强制执行的设计也确立了明确边界。审核发现结果可识别潜在工作，但不会批准或应用这些工作。
这意味着什么： 不要将已完成的自动评估解读为每项 STIG 建议都已得到验证的证明。手动审查规则在您的团队通过单独流程完成评估之前，仍处于未完成状态。
Microsoft 表示，此功能需要 Intune Advanced Analytics。这一先决条件使许可资格验证成为首个部署任务，而不是在评估规划开始后才发现的管理细节。
管理员操作：
- 验证许可资格。 在分配评估工作之前，确认您的商业租户可以访问 Intune Advanced Analytics。
- 定义审查归属。 确定由谁检查按设置提供的发现结果，以及由谁调查设备级差距。
- 分离手动检查。 为基线无法自动验证的建议创建独立工作流。
- 确定修复优先级。 使用报告的发现结果，根据组织现有的风险和变更流程对配置差距进行排序。
- 控制配置变更。 独立审查、测试并批准修复措施，因为审核基线不会更改设备设置。
更大的图景
评估现在先于强制执行。 STIG 审核基线让商业租户能够在决定如何修复之前，识别受支持的 Windows 配置差距。
覆盖范围边界很重要。 自动发现结果和手动验证规则构成独立的工作流；任何一方都不应被视为另一方的替代品。
许可影响执行。 由于 Microsoft 要求使用 Intune Advanced Analytics，您的团队应在制定运营推广计划之前解决租户许可资格问题。
结果需要治理。 只有为按设置和按设备提供的发现结果指定负责人、优先级和变更控制后，它们才能发挥作用。
总结： Microsoft 的 STIG 审核基线通过呈现受支持的 Windows 配置发现结果且不更改设置，弥补了商业 Intune 租户中的一个重要可见性缺口。当前的首要任务是验证 Advanced Analytics 访问权限、建立独立的自动与手动审查流程，并通过受控修复流程处理已确认的差距。
敬请关注更多 Intune 更新；一如既往，在部署到生产环境之前请进行充分测试！