Microsoft Intune 服務版本 2610（Microsoft 列為 2026 年 10 月 26 日當週的更新）改變了系統管理員管理 AOSP 應用程式、Apple 路由與更新、Windows 安全性、憑證基礎結構、權限及指令碼傳遞的方式。此版本包含多項設定變更，將直接影響原則、防火牆和移轉作業。
對 Intune 系統管理員而言，訊號很明確：此版本的重點不在單一頭條功能，而在於移除不受支援的途徑，並提供更佳的控制證據。您的團隊應將 2610 視為檢閱 Apple 原則、Windows 連線能力、憑證作業和委派管理的週期。
1. AOSP 參照應用程式可管理現有套件
Microsoft 表示，Intune 現在支援 AOSP 參照應用程式類型，可依套件名稱識別應用程式，而不需要上傳 APK。此功能適用於已存在於支援 AOSP 裝置上的 OEM、預先載入或外部部署應用程式。
Required 指派會取消隱藏現有應用程式，而 Uninstall 指派則會將其隱藏。這不是另一種應用程式散發機制，而是用於控制已存在於裝置上軟體的層級。
Microsoft 的 AOSP 應用程式文件也指出，參照應用程式可接收以 JSON 為基礎的應用程式設定原則。由於 Intune 沒有可用來取得受控設定結構描述的已上傳 APK，因此不支援 Configuration designer 和 Connected Apps。
**您可以控制的項目：**您可以透過套件名稱建立參照應用程式、指派 Required 或 Uninstall 意圖，以及以手動編寫的 JSON 設定為目標。
**這為何重要：**使用 OEM 映像或外部部署系統的組織，可以在 Intune 中管理裝置上既有的應用程式，而無須重複進行套件散發。代價是更依賴正確的套件名稱和廠商提供的 JSON 結構描述。
**系統管理員動作：**確認每個目標套件已存在於裝置上，從 OEM 或應用程式廠商取得其精確套件名稱，並在有限的 AOSP 群組上測試可見性行為和 JSON 設定。
2. Apple VPN 設定檔新增 Enforce Routes 支援
Microsoft 表示，Intune 現在支援 iOS、iPadOS 和 macOS VPN 設定檔中的 Apple Enforce Routes 功能。系統管理員可透過 Include all networks 和 Exclude local networks 定義預期行為，之後 Intune 會衍生對應的 Enforce Routes 設定。
根據 Microsoft 的 Apple VPN 文件，產生的行為會遵循 Apple 的路由語意。Include all networks 會將大部分流量導向通道，而 Exclude local networks 則允許本機服務維持在通道之外。
**您可以控制的項目：**您可以指定流量是否應廣泛使用 VPN，以及本機網路流量是否應維持可直接存取。
**這為何重要：**明確的路由可降低因路由優先順序模糊而發生流量繞過或去遮蔽的可能性。這是一項安全性控制，但錯誤的組合也可能中斷對本機印表機、附近服務或具有特殊路由相依性的資源之存取。
**系統管理員動作：**檢閱現有 Apple VPN 設定檔，記錄預期的路由行為，並在變更生產環境指派之前測試全裝置和每一應用程式 VPN 案例。
3. 舊版 Apple 更新工作負載已移除
Microsoft 表示，由於 Apple 已在 OS 27 中淘汰基礎命令和承載資料，Intune 正在移除舊版 Apple MDM 軟體更新工作負載。系統管理員必須使用 Apple 宣告式裝置管理更新原則，才能繼續管理軟體更新。
Microsoft 的 Apple 更新規劃指引將宣告式裝置管理定位為受支援的替代方案。在該模型下，系統管理員宣告所需的更新行為，而裝置則管理更多下載、提示、準備和安裝生命週期。
這不是 UI 清理，而是移除了其基礎 Apple 機制不再受支援的控制項。
**這代表什麼：**現有以舊版 MDM 更新命令為基礎的作業文件、自動化和原則檢閱，現在都已過時。受支援的途徑是宣告式更新強制執行及相關軟體更新設定。
**這為何重要：**若內部作業手冊中仍有可見的原則，但它已不再對應至受支援的裝置命令，便會造成錯誤的保障感。這是合規性和修補程式治理問題。
**系統管理員動作：**清查舊版 Apple 更新設定，以宣告式原則取代它們，並在具代表性的 iOS、iPadOS 和 macOS 裝置上驗證截止期限和使用者提示行為。
4. MEFERI OEMConfig 支援擴展至 Android Enterprise
Microsoft 已新增對 MEFERI OEMConfig 應用程式的支援；該應用程式的套件名稱為 com.meferi.oemconfig，適用於 Android Enterprise 裝置。系統管理員可使用 Intune 現有的 OEMConfig 工作流程，部署透過 MEFERI OEM 提供之結構描述公開的設定。
必要的工作流程是從 Managed Google Play 新增應用程式、進行指派，以及為結構描述套件建立 OEMConfig 設定檔。可用設定由 MEFERI 定義，而非 Intune。
**您可以控制的項目：**您的團隊可透過標準 Intune OEMConfig 原則模型設定 MEFERI 特有的裝置功能。
**這為何重要：**當所需設定透過 OEM 結構描述公開時，MEFERI 裝置群不再需要個別的設定因應措施。由於 OEM 控制可用的金鑰和預設值，結構描述變更仍需測試。
**系統管理員動作：**從 Managed Google Play 新增 com.meferi.oemconfig，將其指派給試行裝置群組，檢查公開的結構描述，並在擴大部署前測試原則衝突。
5. Setup Assistant 舊版驗證終止
Microsoft 表示，Intune 已終止在使用使用者關聯性的 iOS、iPadOS 和 macOS 自動化裝置註冊設定檔中支援 Setup Assistant 舊版驗證。現有設定檔會自動更新為使用現代驗證的 Setup Assistant。
系統管理員建立或編輯設定檔時，舊版選項已不再可用。已透過這些設定檔註冊的裝置會維持註冊狀態，且不受影響。
**這代表什麼：**立即風險並非裝置取消註冊，而是未來使用自動更新設定檔之裝置的註冊工作流程變更。
**這為何重要：**自動化註冊期間的驗證行為會影響使用者提示、支援程序和條件式存取排序。即使是自動設定檔更新，仍需要作業驗證。
**系統管理員動作：**檢閱受影響的自動化裝置註冊設定檔，在每個相關 Apple 平台上執行全新註冊，並更新服務台文件以反映現代驗證提示。
6. Administrator protection 擴展至 Intune 原則
Microsoft 已將兩項 Administrator protection 設定新增至端點安全性 Account protection 原則。在受支援的 Windows 11 版本上，系統管理員可以設定 Administrator Approval Mode 類型，並選取搭配 Administrator protection 使用的權限提升提示行為。
Microsoft 也表示，Windows 11 版本 24H2 和 25H2 的設定目錄支援相同兩個控制項。這提供兩個 Intune 原則介面來設定該行為。
**您可以控制的項目：**您可以定義 Administrator Approval Mode 的運作方式，以及支援 Windows 裝置上權限提升提示的顯示方式。
**這為何重要：**權限提升行為現在是明確的原則決策，而非逐台裝置的假設。在 Account protection 和設定目錄中重複設定，可能造成可避免的原則衝突。
**系統管理員動作：**為這些設定選擇單一原則權威，鎖定支援的 Windows 試行群組，並在廣泛指派前檢閱產生的原則狀態。
7. Windows 推送連線能力需要檢閱防火牆
Microsoft 表示，其改善了依賴推送通知的 Windows 案例連線能力，包括裝置動作、Win32 應用程式、PowerShell 指令碼和 Remediations。Microsoft 建議更新防火牆規則以納入新的端點，並查閱目前的 Intune 和 Windows Push Notification Services 相依性清單。
受監視的版本項目並未說明端點值本身。系統管理員應使用 Microsoft 目前的網路需求，而非複製舊版防火牆基準中的位址。
**這為何重要：**遭封鎖的推送路徑可能同時延遲多個作業工作流程。當根本問題是網路存取時，這可能看似是應用程式、指令碼或裝置動作失敗。
**系統管理員動作：**將輸出防火牆和 Proxy 規則與 Microsoft 目前的端點需求進行比較，從具代表性的網路區段測試，並確認裝置動作和指令碼通知可抵達受管理的 Windows 裝置。
8. Apple OS 27 DDM 資料進入裝置清查
Microsoft 表示，Intune 裝置清查現在包含執行 OS 27 的 Apple 裝置之宣告式裝置管理狀態資料。新增的清查涵蓋硬體元件健康狀態、增強型記錄工作階段、內容快取狀態，以及 Apple MDM 和安全性狀態。
這些狀態可能包括註冊類型、等待設定和鎖定模式。Microsoft 指出，可用值取決於裝置的 OS、硬體、註冊和宣告式管理功能。
**您可以控制的項目：**這項變更提供額外的清查證據，而非新的強制執行機制。
**這為何重要：**支援和安全性團隊可以使用新增的狀態資料來區分設定、硬體健康狀態、快取和註冊情況，而不必完全依賴使用者回報。可用性將因情況而異，因此不應自動將遺漏值解讀為失敗。
**系統管理員動作：**檢閱具代表性的 OS 27 裝置所輸出的清查資料，並決定哪些新屬性應納入支援程序、合規性調查和作業報告。
9. 代理程式執行階段保護正式推出
Microsoft 表示，適用於 Microsoft Defender for Endpoint 代理程式執行階段保護設定的端點安全性範本現已正式推出。該範本不再帶有預覽指定，並包含新的 AI 代理程式執行階段檢查設定。
**您可以控制的項目：**系統管理員可透過端點安全性範本為 Windows 裝置設定受支援的執行階段保護設定，包括 AI 代理程式執行階段檢查。
**這為何重要：**正式推出使部署決策從預覽評估轉為生產環境原則規劃，但不表示無須測試相容性和報告行為。
**系統管理員動作：**檢閱任何預覽階段的指派，將其與正式推出的範本比較，在受控制的 Windows 群組上測試 AI 代理程式執行階段檢查，並在擴展前記錄復原準則。
10. Certificate Connector 健康狀態顯示於系統管理中心
Certificate Connector for Microsoft Intune 現在會在 Intune 系統管理中心公開健康狀態和狀態訊號。Microsoft 表示，這些指標可識別例如無法連線的憑證授權單位、服務帳戶缺乏簽發或撤銷憑證的權限，以及憑證範本與 PKCS 設定檔不相符等情況。
每個訊號都包含調查和修正指引。這彌補了憑證原則指派和憑證簽發之間的作業可見性落差。
**這為何重要：**憑證失敗可能在下游呈現為存取、登入或合規性問題。連接器層級的健康狀態證據，讓系統管理員能在將每台失敗裝置視為獨立端點問題之前，先調查簽發路徑。
**系統管理員動作：**建立定期的連接器健康狀態檢閱，指派憑證授權單位和服務帳戶失敗的責任歸屬，並將新訊號納入憑證事件作業手冊。
11. 範圍式 RBAC 權限正式推出
Microsoft 表示，Intune 角色型存取控制的範圍式權限現已正式推出。具有不同範圍標籤之角色指派的權限將獨立套用，而不是合併。
Microsoft 建議在啟用範圍式權限前使用 Permissions Assessment Report。該報告是必要的規劃控制項，因為當獨立範圍的指派取代合併行為時，有效的系統管理員存取權可能變更。
**這為何重要：**這不是外觀上的 RBAC 調整，而是改變了委派存取權跨範圍界限的計算方式。
對於透過範圍標籤區隔地區、業務單位或管理團隊的組織，新行為可以更妥善保留預期界限。但它也可能移除系統管理員先前透過合併指派取得的存取權。
**系統管理員動作：**執行 Permissions Assessment Report，識別有效存取權將變更的系統管理員，記錄例外情況，並僅在受影響的支援和作業團隊核准結果後啟用範圍式權限。
12. Windows 指令碼取得更快速的推送式傳遞
Microsoft 表示，Intune 現在會針對系統管理員啟動和服務端的 Windows 指令碼變更使用推送通知。受管理裝置可在指令碼變更後更快簽到，而不是僅等待一般輪詢間隔。
建立和指派指令碼的工作流程不會改變，改變的是傳遞觸發程序。
**這為何重要：**更快速的通知可縮短指令碼變更與裝置處理之間的間隔，這對補救和時間敏感的設定工作很有幫助。此改善仍取決於正常運作的推送連線能力，因此版本 2610 中的防火牆檢閱具有作業上的重要性。
**系統管理員動作：**從具有不同 Proxy 和防火牆路徑的網路驗證指令碼傳遞，比較觀察到的簽到行為，並為離線或無法接收推送通知的裝置保留符合實際情況的部署時程。
更宏觀的觀點
- **完成 Apple 轉型。**將軟體更新移轉至宣告式裝置管理，在自動化註冊期間驗證現代驗證，並將 VPN 路由視為單一協調的 Apple 工作流程進行檢閱。
- **將連線能力視為相依性。**在依傳遞速度評估裝置動作、Win32 應用程式、指令碼或 Remediations 前，先更新 Windows 推送允許清單。
- **試行新的安全性控制項。**在受控制群組上測試 Administrator protection 和代理程式執行階段檢查，並為重疊設定建立單一且已記錄的原則權威。
- **使用新的證據。**將 Certificate Connector 健康狀態、Apple OS
27清查和 Permissions Assessment Report 納入作業檢閱。 - **驗證廠商定義的 Android 控制項。**在生產環境指派前，確認 AOSP 套件名稱、JSON 結構描述和 MEFERI OEMConfig 行為。
敬請持續關注更多 Intune 更新，一如既往，部署至生產環境前請務必徹底測試！