Microsoft Intune 從六月到七月初持續穩定推出更新，Service Release 2605 以及我們先前已介紹過的 2606 之後的每週更新，帶來了幾項重要功能。如果你這個夏天一直埋首於專案之中，以下是你需要了解、正陸續推送到租用戶的最新變更。

讓我們逐一檢視影響最大的更新——從安全性狀態的改善、Android 管理的現代化，到在 Windows 上偵測並封鎖未經授權 AI 代理程式的新功能。

1. 多重管理員核准現在也會對自動化發出的 API 呼叫強制執行

對於仰賴自動化的 Intune 管理員來說，這可說是影響最深遠的變更。多重管理員核准（MAA）現在會套用到由服務主體、自動化指令碼和 DevOps 管線所發出的 Microsoft Graph API 呼叫——而不再只限於入口網站中的互動式管理動作。

如果你的租用戶已設定 MAA 存取原則，而你使用服務主體、搭配 Connect-MSGraph 的 PowerShell 指令碼，或第三方工具來修改受保護的 Intune 資源，這些呼叫現在都必須經過與手動操作相同的核准工作流程。缺少必要核准標頭的呼叫會傳回 HTTP 403 錯誤。

為何重要： 在此變更之前，遭入侵或權限過大的服務主體可以在沒有任何人工檢查的情況下執行高影響的 Intune 作業（應用程式部署、原則變更、組態基準）。這項變更填補了一個關鍵的安全性缺口。

你應該採取的行動：

  • 盤點所有接觸 Intune 的 Graph 型自動化——指令碼、CI/CD 管線、整合工具
  • 更新指令碼，在 API 呼叫中加入 MAA 核准標頭
  • 對於使用應用程式驗證權杖、且無法立即修改程式碼的應用程式，可使用 MAA 存取原則精靈中新的 [排除] 索引標籤，在修正期間暫時排除特定應用程式
  • 向 DevOps 與自動化團隊說明流程變更——核准程序會為自動化工作流程增加延遲

2. Android Enterprise 個人擁有的工作設定檔改用 Android Management API（AMAPI）

Android Enterprise 個人擁有的工作設定檔（BYOD）註冊方式正在進行重大現代化。Intune 會將這些裝置從舊有的註冊方式移至 Android Management API（AMAPI），帶來兩項主要改進：

網頁式註冊： 使用者不再需要安裝 Intune 公司入口網站應用程式即可註冊。他們可以完全透過網頁瀏覽器完成註冊，此設定適用於整個租用戶，並能與身分識別入口網站和上線流程無縫整合。

新的原則傳遞模型： Intune 正在為 BYOD 工作設定檔裝置推出新式的原則傳遞與監控實作——與 COBO、COSU 和 COPE 裝置已採用的方式一致。這代表所有 Android 註冊類型的行為會更加一致，長期支援也更完善。

你應該採取的行動：

  • 在 Intune 系統管理中心選擇加入：[裝置] > [裝置上線] > [註冊] > [Android] > [具有工作設定檔的個人擁有裝置]
  • 開啟 「對所有註冊 Android 個人擁有工作設定檔管理的使用者使用網頁註冊」
  • 透過 [裝置] > [管理裝置] > [組態] > [建立] > [新增原則] > [Android Enterprise] > [移至 Android Management API] 建立新原則
  • 更新使用者註冊指南與相關通知
  • 檢視新模型下合規性原則與組態原則的涵蓋範圍

3. Windows 11 STIG SCAP 基準測試稽核基準（GCC High）

對於政府客戶與國防承包商而言，這是一件大事。Intune 現在提供 STIG 稽核基準，依據美國國防資訊系統局（DISA）的安全技術實作指南（STIG）評估 Windows 裝置。

初始基準是依據 Microsoft Windows 11 STIG SCAP Benchmark Version 2, Release 7（基準測試日期：2026 年 1 月 5 日）進行稽核。

主要特性：

  • 僅限稽核： 與其他 Intune 安全性基準不同，STIG 基準不會強制套用或變更設定。它會評估目前的裝置狀態並產生詳細報告。
  • DISA 合規性報告： 稽核結果包含對應至 NIST XCCDF 結果類別的文件化對照，可用於正式的合規性報告。
  • Graph API 支援： 可透過程式擷取資料，並彙總跨租用戶的評估結果。
  • 授權： 適用於 GCC High 租用戶，且需要 Advanced Analytics 授權。

你應該採取的行動：

  • 先以僅報告模式將 STIG 基準部署到試行群組
  • 檢閱產生的稽核報告，並與現有以 GPO 為基礎的安全性設定比較
  • 根據目前狀態與 STIG 要求之間的差距，決定修正的優先順序
  • 將發現事項記錄下來，作為稽核證據收集之用

4. APP 多重受管理帳戶

應用程式保護原則（APP）現在支援多重受管理帳戶，讓使用者能在同一個應用程式中新增並管理多個受管理帳戶。應用程式保護原則會分別套用到每個帳戶，因此你可以依帳戶所屬的組織或租用戶調整保護措施。

第一個支援的應用程式是 iOS/iPadOS 版 Microsoft Teams（v8.10.0 或更新版本）。其他應用程式與平台的支援即將推出。

為何重要： 對於顧問、MSP 人員以及任何管理多個租用戶或組織的人來說，不再需要為了存取不同的工作帳戶而不斷登出再登入，或執行不同的應用程式執行個體。

你應該採取的行動：

  • 確認同一應用程式中存在多個組織時，各租用戶的 APP 原則範圍設定正確
  • 測試資料傳輸限制——確認「組織資料無法移至其他組織」如預期運作
  • 為多租用戶使用者提供如何新增其他帳戶的指引

5. 在 Windows 裝置上偵測並封鎖影子 AI（公開預覽）

Intune 開始主動因應 影子 AI——也就是在受管理裝置上執行、未經授權的本機 AI 代理程式。透過這項新的公開預覽功能，你可以使用三項相輔相成的功能，在 Windows 裝置上偵測並封鎖 OpenClaw 這類工具：

  1. 屬性目錄： 收集 Local AI Agent 實體，以識別存在或正在執行未經授權 AI 代理程式的裝置
  2. 裝置查詢： 檢視整個環境中具有 Local AI Agent 的裝置
  3. Local AI Agent 基準 - OpenClaw（預覽）： 專用的安全性基準，用於封鎖使用者在受管理的 Windows 裝置上執行 OpenClaw

為何重要： 影子 AI 工具可能外洩敏感資料、執行未經核准的程式碼，並規避現有的資料外洩防護控制。隨著 AI 代理程式激增，IT 與安全性團隊需要的不只是偵測，更要能強制執行原則。

你應該採取的行動：

  • 與安全性及法務團隊協調，定義組織的 AI 治理立場
  • 部署屬性目錄原則，盤點哪些裝置有未經授權的 AI 代理程式
  • 使用裝置查詢產生報告
  • 在適當情況下，考慮部署 OpenClaw 基準以封鎖使用
  • 規劃向使用者說明哪些 AI 工具允許使用、哪些禁止使用

6. Cloud PKI 發行憑證授權單位的就地續約

如果你正在使用 Intune 的 Cloud PKI，這項營運改進將為你節省大量時間。就地續約讓你無需建立新的 CA 或更新 SCEP 憑證設定檔，即可續約符合資格的發行 CA。

過去，續約發行 CA 需要建立新的 CA，並手動更新每個相依的 SCEP 設定檔——帶來組態風險與營運負擔。透過就地續約，Wi-Fi、VPN 和電子郵件情境中的憑證發行可持續不中斷，無需變更現有的 SCEP 設定檔或裝置指派。

7. Android 版 Microsoft Tunnel 的嚴格通道模式

Microsoft Tunnel 現在支援 Android Enterprise 裝置上的嚴格通道模式（Strict Tunnel Mode）。啟用後，所有網路流量都會被強制經由 VPN 通道傳輸。如果 VPN 連線中斷，裝置上的所有網路流量都會被封鎖，直到 VPN 重新連線為止——防止應用程式在通道之外存取公用網際網路。

應用程式排除清單可讓你允許特定應用程式（例如驗證輔助程式或受信任的生產力工具）略過通道直接連線。

當 Microsoft Tunnel VPN 設定檔設定為永遠開啟的 VPN（Always-on VPN）時，即可使用嚴格通道模式。此功能需要透過 Android Management API 註冊的裝置，MAM 註冊的裝置則可透過 Microsoft Edge 應用程式設定原則取得支援。

8. 直接管理 Android 企業營運應用程式

你現在可以在 Microsoft Intune 中直接管理 Android LOB 應用程式，無需將其發佈到 Managed Google Play。只要將 APK 檔案直接上傳到 Intune，並部署到支援的 Android Enterprise 註冊類型（COBO 與 COSU）即可。

對於下列組織而言，這是一項重大的簡化：

  • 開發並散發內部 Android 應用程式
  • 在 Google Play 存取受限的環境中運作
  • 使用未完整搭載 Google Play 服務的資訊站或強固型裝置
  • 需要對私人應用程式進行快速迭代

直接管理的 LOB 應用程式也支援應用程式設定原則，讓你擁有與 Managed Google Play 應用程式相同的設定彈性。

9. 弱點修復代理程式現在使用 Microsoft Entra 代理程式身分識別

弱點修復代理程式（公開預覽）現在使用 Microsoft Entra 代理程式身分識別，而非人類使用者身分識別。當你設定新的代理程式執行個體時，設定程序會自動在租用戶的 Entra 目錄中佈建代理程式身分識別。代理程式會以委派給此代理程式使用者的權限執行。

重要時程提醒： 如果你已有使用人類使用者身分識別的代理程式，目前仍可繼續運作——但該支援將於 此版本發行後 90 天 到期。你需要在期限前轉換為代理程式身分識別。當可轉換為代理程式身分識別時，代理程式頁面上會顯示橫幅通知你。

10. 其他值得注意的更新

Managed Home Screen 增強功能（6 月 8 日當週）

  • 自訂頂端列元素： 可顯示自由文字字串（最多 63 個字元），並支援 {{SerialNumber}}、{{DeviceName}}、{{TenantName}} 等動態變數
  • 結束鎖定工作模式密碼： 現在必須透過裝置組態設定檔設定，而非應用程式設定原則
  • 驗證期間將應用程式靜音： 在 MHS 鎖定時防止通知、快顯通知和鈴聲——並可為重要應用程式設定允許清單

設定目錄中的新 Microsoft Edge 148 設定

新增了大量 Edge 原則，包括 Copilot 新索引標籤頁面控制、使用 Copilot 瀏覽的允許/封鎖清單、工作設定檔中的 M365 驗證快顯視窗行為、開發人員工具允許/封鎖清單等。可在 Windows 設定目錄中使用。

iOS/iPadOS 的新有線網路設定檔

適用於透過擴充座/顯示器連線之 M 系列 iPad 的 802.1x 有線網路設定檔。支援 EAP-TLS、PEAP 和 TTLS。需要 iOS/iPadOS 17 或更新版本。

iOS/iPadOS Intune 應用程式版本要求

Android 版 Microsoft Intune 應用程式現在需要 2025.11.01 或更新版本。此變更已於 2026 年 5 月 1 日生效。使用舊版的使用者可能會遇到登入失敗。

摘要與建議行動

功能優先順序最適合
自動化 MAA 強制執行高所有使用自動化的組織
Android AMAPI 移轉高BYOD Android 組織
STIG 稽核基準中GCC High / DoD 客戶
APP 多重受管理帳戶中多租用戶組織
影子 AI 偵測中受監管產業
Cloud PKI 就地續約低至中Cloud PKI 使用者
嚴格通道模式低至中Android + Tunnel 組織
直接管理 Android LOB低至中內部 Android 應用程式開發人員

2605 版本及其前後的每週更新，延續了我們在 2026 年一路看到的趨勢：Intune 正從裝置管理工具演進為全方位的安全性營運平台。自動化治理控制（API 呼叫的 MAA）、正式的合規性基準（STIG）以及 AI 代理程式治理（影子 AI 偵測）的加入，都是此一發展方向的跡象。

一如往常，請在廣泛部署前先於預備環境中測試這些功能，並留意逐步推出的模式——部分功能可能需要數週才會抵達你的租用戶。

在 X/Twitter 上追蹤 Kevin：https://x.com/kkaminsk，取得更多 Intune 與端點管理內容。