Microsoft Intune 在整个六月和七月初持续稳定地发布更新，服务版本 2605 以及我们此前已介绍过的 2606 之后的每周更新带来了多项重要功能。如果您这个夏天一直埋头于各种项目，以下是正在陆续推送到您租户中的最新变更，值得您了解。

下面我们逐一梳理影响最大的更新——从安全态势改进、Android 管理现代化，到在 Windows 上检测并阻止未经授权 AI 智能体的新能力。

1. 多管理员审批现已对自动化发起的 API 调用强制执行

对于依赖自动化的 Intune 管理员来说，这可以说是影响最深远的变更。多管理员审批（MAA）现在适用于由服务主体、自动化脚本和 DevOps 流水线发起的 Microsoft Graph API 调用——而不再仅限于门户中的交互式管理操作。

如果您的租户已配置 MAA 访问策略，并且您使用服务主体、带有 Connect-MSGraph 的 PowerShell 脚本或第三方工具来修改受保护的 Intune 资源，那么这些调用现在需要经过与手动操作相同的审批流程。缺少所需审批标头的调用将返回 HTTP 403 错误。

为什么重要：在此变更之前，遭到入侵或权限过大的服务主体可以在没有任何人工审核的情况下执行高影响的 Intune 操作（应用部署、策略变更、配置基线）。这项变更堵住了一个关键的安全漏洞。

您应该采取的行动：

  • 盘点所有涉及 Intune 的基于 Graph 的自动化——脚本、CI/CD 流水线、集成工具
  • 更新脚本，在 API 调用中加入 MAA 审批标头
  • 对于使用应用身份验证令牌、且无法立即修改代码的应用程序，可使用 MAA 访问策略向导中新增的 “排除项”选项卡，在整改期间临时排除特定应用
  • 向 DevOps 和自动化团队传达流程变更——审批会给自动化工作流增加延迟

2. Android Enterprise 个人拥有的工作配置文件迁移至 Android Management API（AMAPI）

Android Enterprise 个人拥有的工作配置文件（BYOD）注册路径正在进行重大现代化改造。Intune 正将这些设备从旧版注册方式迁移到 Android Management API（AMAPI），带来两项主要改进：

基于 Web 的注册：用户不再需要安装 Intune 公司门户应用即可注册。他们可以完全通过 Web 浏览器完成注册，该设置在整个租户范围内生效，并能与身份门户和入职流程无缝配合。

新的策略下发模型：Intune 正在为 BYOD 工作配置文件设备推出一种现代化的策略下发与监控实现方式——与 COBO、COSU 和 COPE 设备已采用的方式保持一致。这意味着所有 Android 注册类型的行为更加一致，长期支持也更完善。

您应该采取的行动：

  • 在 Intune 管理中心选择加入：设备 > 设备载入 > 注册 > Android > 带有工作配置文件的个人拥有设备
  • 开启 “对所有注册 Android 个人拥有工作配置文件管理的用户使用 Web 注册”
  • 通过 设备 > 管理设备 > 配置 > 创建 > 新建策略 > Android Enterprise > 迁移到 Android Management API 创建新策略
  • 更新用户注册指南和相关通知
  • 检查新模型下合规策略和配置策略的覆盖范围

3. Windows 11 STIG SCAP 基准审计基线（GCC High）

对于政府客户和国防承包商而言，这是一项重大更新。Intune 现在提供 STIG 审计基线，依据美国国防信息系统局（DISA）发布的安全技术实施指南（STIG）评估 Windows 设备。

初始基线依据 Microsoft Windows 11 STIG SCAP Benchmark Version 2, Release 7（基准日期：2026 年 1 月 5 日）进行审计。

主要特性：

  • 仅审计：与其他 Intune 安全基线不同，STIG 基线不会强制执行或更改设置。它会评估当前设备状态并生成详细报告。
  • DISA 合规报告：审计结果包含到 NIST XCCDF 结果类别的文档化映射，可用于正式的合规报告。
  • Graph API 支持：支持以编程方式检索数据，并汇总跨租户的评估结果。
  • 许可：适用于 GCC High 租户，需要 Advanced Analytics 许可。

您应该采取的行动：

  • 先以仅报告模式将 STIG 基线部署到试点组
  • 查看生成的审计报告，并与现有基于 GPO 的安全配置进行比较
  • 根据当前状态与 STIG 要求之间的差距确定整改优先级
  • 记录发现的问题，用于审计证据收集

4. APP 多托管账户

应用保护策略（APP）现已支持多托管账户，允许用户在同一应用中添加和管理多个托管账户。应用保护策略分别应用于每个账户，因此您可以根据账户所属的组织或租户定制保护措施。

首个支持的应用是 iOS/iPadOS 版 Microsoft Teams（v8.10.0 或更高版本）。对更多应用和平台的支持即将推出。

为什么重要：对于顾问、MSP 员工以及任何管理多个租户或组织的人来说，这免去了为访问不同工作账户而反复注销再登录，或运行多个应用实例的麻烦。

您应该采取的行动：

  • 当同一应用中存在多个组织时，确认各租户的 APP 策略作用范围设置正确
  • 测试数据传输限制——确认“组织数据不能移动到其他组织”按预期工作
  • 为多租户用户提供添加其他账户的操作指导

5. 在 Windows 设备上检测并阻止影子 AI（公共预览版）

Intune 开始主动应对 影子 AI——即在受管设备上运行的未经授权的本地 AI 智能体。借助这项新的公共预览功能，您可以通过三项互补的能力，在 Windows 设备上检测并阻止 OpenClaw 等工具：

  1. 属性目录：收集 Local AI Agent 实体，以识别存在或正在运行未经授权 AI 智能体的设备
  2. 设备查询：查看整个环境中装有 Local AI Agent 的设备
  3. Local AI Agent 基线 - OpenClaw（预览版）：专用安全基线，用于阻止用户在受管 Windows 设备上运行 OpenClaw

为什么重要：影子 AI 工具可能外泄敏感数据、运行未经批准的代码，并绕过现有的数据丢失防护控制。随着 AI 智能体的激增，IT 和安全团队需要的不仅是检测能力，还要能够强制执行策略。

您应该采取的行动：

  • 与安全和法务团队协作，明确组织的 AI 治理立场
  • 部署属性目录策略，盘点哪些设备上存在未经授权的 AI 智能体
  • 使用设备查询生成报告
  • 在适当情况下，考虑部署 OpenClaw 基线以阻止使用
  • 规划面向最终用户的沟通，说明哪些 AI 工具允许使用、哪些禁止使用

6. Cloud PKI 颁发证书颁发机构的就地续订

如果您正在使用 Intune 的 Cloud PKI，这项运维改进将为您节省实实在在的时间。就地续订 让您无需创建新的 CA 或更新 SCEP 证书配置文件，即可续订符合条件的颁发 CA。

以前，续订颁发 CA 需要创建新的 CA，并手动更新每个依赖它的 SCEP 配置文件——这会带来配置风险和运维开销。借助就地续订，Wi-Fi、VPN 和电子邮件场景中的证书颁发将持续不中断，无需更改现有的 SCEP 配置文件或设备分配。

7. Android 版 Microsoft Tunnel 的严格隧道模式

Microsoft Tunnel 现已支持 Android Enterprise 设备上的严格隧道模式（Strict Tunnel Mode）。启用后，所有网络流量都将被强制通过 VPN 隧道传输。如果 VPN 连接断开，设备上的所有网络流量都将被阻止，直到 VPN 重新连接——从而防止应用在隧道之外访问公共互联网。

借助应用排除列表，您可以允许特定应用（例如身份验证辅助程序或受信任的办公效率工具）绕过隧道直接连接。

当 Microsoft Tunnel VPN 配置文件配置了始终开启的 VPN（Always-on VPN）时，即可使用严格隧道模式。该功能要求设备通过 Android Management API 注册；对于 MAM 注册的设备，则可通过 Microsoft Edge 应用配置策略获得支持。

8. 直接管理 Android 业务线应用

现在，您可以直接在 Microsoft Intune 中管理 Android LOB 应用，无需将其发布到 Managed Google Play。只需将 APK 文件直接上传到 Intune，并部署到受支持的 Android Enterprise 注册类型（COBO 和 COSU）即可。

对于以下组织而言，这是一项重大简化：

  • 开发和分发内部 Android 应用
  • 在 Google Play 访问受限的环境中运营
  • 使用未完整搭载 Google Play 服务的信息亭设备或加固型设备
  • 需要对私有应用进行快速迭代

直接管理的 LOB 应用同样支持应用配置策略，为您提供与 Managed Google Play 应用相同的配置灵活性。

9. 漏洞修复智能体现已使用 Microsoft Entra 智能体身份

漏洞修复智能体（公共预览版）现在使用 Microsoft Entra 智能体身份，而不是人类用户身份。当您设置新的智能体实例时，设置过程会自动在租户的 Entra 目录中预配一个智能体身份。智能体将以委派给该智能体用户的权限运行。

重要时间提醒：如果您已有使用人类用户身份的智能体，它目前仍可继续工作——但相关支持将在 本版本发布 90 天后 到期。您需要在截止日期前过渡到智能体身份。当可以过渡到智能体身份时，智能体页面上会显示横幅通知您。

10. 其他值得关注的更新

Managed Home Screen 增强功能（6 月 8 日当周）

  • 自定义顶栏元素：可显示自由文本字符串（最多 63 个字符），并支持 {{SerialNumber}}、{{DeviceName}} 和 {{TenantName}} 等动态变量
  • 退出锁定任务模式密码：现在必须通过设备配置文件进行配置，而不是通过应用配置策略
  • 身份验证期间使应用静音：在 MHS 锁定时阻止通知、弹出通知和响铃——并可为关键应用配置允许列表

设置目录中新增 Microsoft Edge 148 设置

新增了一大批 Edge 策略，包括 Copilot 新标签页控制、使用 Copilot 浏览的允许/阻止列表、工作配置文件中的 M365 身份验证弹出窗口行为、开发人员工具允许/阻止列表等。可在 Windows 设置目录中使用。

适用于 iOS/iPadOS 的新有线网络配置文件

适用于通过扩展坞/显示器连接的 M 系列 iPad 的 802.1x 有线网络配置文件。支持 EAP-TLS、PEAP 和 TTLS。需要 iOS/iPadOS 17 或更高版本。

iOS/iPadOS Intune 应用版本要求

Android 版 Microsoft Intune 应用现在要求 2025.11.01 或更高版本。此变更已于 2026 年 5 月 1 日生效。使用旧版本的用户可能会遇到登录失败。

总结与建议行动

功能优先级最适合
MAA 自动化强制执行高所有使用自动化的组织
Android AMAPI 迁移高BYOD Android 组织
STIG 审计基线中GCC High / DoD 客户
APP 多托管账户中多租户组织
影子 AI 检测中受监管行业
Cloud PKI 就地续订低至中Cloud PKI 用户
严格隧道模式低至中Android + Tunnel 组织
直接管理 Android LOB低至中内部 Android 应用开发者

2605 版本及其前后的每周更新延续了我们在 2026 年一路看到的趋势：Intune 正从设备管理工具演进为全面的安全运营平台。自动化治理控制（针对 API 调用的 MAA）、正式的合规基线（STIG）以及 AI 智能体治理（影子 AI 检测）的加入，都是这一发展方向的体现。

一如既往，请在大范围部署前先在预发布环境中测试这些功能，并留意逐步推出的节奏——部分功能可能需要数周时间才能到达您的租户。

在 X/Twitter 上关注 Kevin：https://x.com/kkaminsk，获取更多 Intune 和端点管理内容。