Microsoft在最近几周悄悄推出了两项重要的Windows 365更新 — 一项侧重安全，一项侧重运营。如果您正在管理Cloud PC部署，这两项都值得关注。

1. 配置过程中禁用内置管理员账户

2026年6月8日当周 — 自6月8日起，新配置的Windows 365 Cloud PC不再默认启用内置本地Administrator账户。此变更适用于所有产品线：

  • Windows 365 Enterprise
  • Windows 365 Flex（专用和共享模式）
  • Windows 365 Reserve

为什么这很重要

内置的Administrator账户是一个众所周知的、固定名称的特权身份。在每个Cloud PC上自动启用它会造成不必要的攻击面 — 它是暴力破解攻击、凭据填充攻击和任何假定该账户存在的恶意软件的目标。大多数组织实际上从未主动使用此账户，但它的存在增加了风险和混淆。

Microsoft的理由很简单：移除不需要的特权账户，强制管理员通过明确的策略驱动方式决定本地管理员访问权限。

IT管理员需要了解的变化

如果您的工作流程假设Cloud PC上存在本地Administrator账户，这些流程在新建机器上将会失败。具体来说：

  • 支持运维手册中"以本地管理员身份登录"的步骤将失败
  • 脚本中使用硬编码Administrator凭据进行远程PowerShell或RDP的需要重构
  • 第三方工具要求本地Administrator账户的可能会报错
  • 应急程序依赖内置管理员作为Entra/Intune访问故障时的备用方案将不再有效

如何适应

从本地账户驱动转向身份和策略驱动的管理方式：

  1. 使用Intune显式管理本地管理员组成员身份。 创建设备配置策略，将特定支持账户或管理员组添加到Cloud PC的本地Administrators组中。

  2. 采用即时（JIT）本地管理员模型。 使用特权管理解决方案或LAPS模式，向命名账户授予有时限的提升权限，而非永久性本地管理员权限。

  3. 利用Windows 365远程管理功能。 大多数管理任务 — 重启、重新配置、暂停、策略更改 — 都可以通过Intune门户完成，无需本地管理员登录。

  4. 在Entra级别定义应急账户。 使用Entra ID角色配合MFA和条件访问，而非绕过这些控制的本地账户。

  5. 更新文档和培训。 从您的SOP、运维手册和服务台培训材料中删除所有对内置Administrator账户的引用。

现有Cloud PC

此变更适用于新配置的Cloud PC。现有Cloud PC可能保留之前的本地管理员配置，直到重新配置或重建。请做好相应计划 — 不要假设变更是追溯性的。

与PowerShell加固相结合

此变更并非孤立存在。Windows 365还在配置过程中默认应用了更严格的PowerShell执行策略。这两项变更共同传递了明确的方向：Cloud PC首先由云管理，本地管理员访问应该是明确的、可控的和可审计的 — 而非假设的。

2. Windows 365 Flex共享模式更灵活的设备命名

2026年7月6日当周 — 管理员现在可以为共享模式的Windows 365 Flex Cloud PC创建更灵活的设备命名模板。更新后的规则：

  • 设备名称：5-15个字符
  • 前缀：最多10个字符，支持连字符
  • 必需后缀：至少5个字符的随机字母数字字符串
  • 前缀内完全的连字符灵活性

背景

这建立在6月1日的公开预览版基础上，该预览版为Flex Shared引入了灵活命名模板。7月6日的更新似乎是正式发布/扩展版本，统一了所有Windows 365产品的命名能力 — Enterprise、Flex Dedicated和Flex Shared。

为什么这很重要

一致的命名约定对于以下方面至关重要：

  • 资产管理和库存跟踪 — 将Cloud PC名称与物理设备命名方案匹配
  • 下游工具兼容性 — 报告系统、监控工具和解析设备名称的脚本
  • 业务部门识别 — 在设备名称中编码部门、位置或角色信息
  • 简化迁移 — 当用户从物理PC迁移到Cloud PC时，一致的命名减少了混淆和工具变更

如何操作

如果您正在管理Windows 365 Flex共享部署并之前受命名限制约束，请查看您的配置策略。您现在可以在所有Windows 365 Cloud PC类型中应用相同的命名标准 — 不再需要为Flex Shared制定特殊规则。

行动项目

  1. 审核脚本和运维手册中对内置Administrator账户的引用 — 在下一次配置周期前更新它们
  2. 创建Intune策略以在Cloud PC上显式管理本地管理员组成员身份
  3. 查看Flex Shared配置策略以利用扩展的命名灵活性
  4. 更新服务台文档以反映新的管理员访问模型
  5. 计划重新配置 — 如果需要将安全加固应用于现有Cloud PC

更大的图景

这些更新符合Microsoft安全优先的云管理模式：

  • 移除默认特权账户
  • 默认限制PowerShell执行
  • 推动管理员转向基于Entra ID的身份和基于Intune的策略管理
  • 缩小不同Windows 365产品之间的差距

信息很明确：Cloud PC应通过云身份和策略管理 — 而非通过传统的本地管理员模式。 如果您的组织仍然像对待传统本地机器一样对待Cloud PC并依赖本地管理员备用方案，这些变化就是您现代化的信号。

Big Hat Group帮助组织部署和优化Windows 365及Microsoft Intune环境。需要帮助更新您的Cloud PC管理策略？联系我们。

在X上关注我们 @bighatgroup 获取每日Microsoft生态系统更新。