Intune Admin Tasks GA：统一处理 EPM、Defender 与多管理员审批

引言：为什么这很重要

Intune 管理员需要持续做出高风险、高影响的决策——批准权限提升、响应安全修复请求，以及验证敏感配置变更。当这些决策点分散在多个控制台中时，响应时间会变慢，审计追踪更难维护，风险也随之增加。随着 admin tasks 现已正式全面发布（GA），Microsoft 正在将这些审批与修复工作流整合到 单一的、按优先级排序的队列 中——旨在当下减少噪音，并为新兴的 AI 辅助运营提供一层监督能力。

Admin tasks 可在 Intune 管理中心 的 Tenant administration 下找到。

Intune Admin Tasks（GA）有哪些新内容

Admin tasks 将三类关键工作流整合到一个统一体验中：

1) Endpoint Privilege Management (EPM) 提权请求

EPM 帮助标准用户在不授予永久本地管理员访问权限的情况下，以提升权限运行已批准的应用。

• 从集中式队列中审查并批准/拒绝提权请求
• 基于文件详细信息（发布者、hash、命令行）创建可复用规则
• 将文件添加到可复用设置，以实现一致的治理
• 便于审计的日志记录，支持合规与调查

如果你使用 Security Copilot，Intune 可呈现 上下文风险信号，为 EPM 审批决策提供参考。

2) Microsoft Defender for Endpoint (MDE) 安全任务

当 Defender 检测到威胁或配置缺口时，可生成修复任务，并直接在 Intune 中呈现。

• 在同一个 admin tasks 队列中跟踪并完成修复工作
• 将任务标记为完成或拒绝，并查看受影响设备列表
• 利用推荐的 endpoint security profiles，包括对 Linux 上 EDR 与 AV exclusions 的更新配置支持
• 维护活动日志，满足审计与合规需求

3) Multi Admin Approval (MAA) 请求

MAA 为高影响操作强制执行“第二双眼睛”（例如脚本、角色变更、远程操作与设备擦除）。

• 从集中视图中批准/拒绝请求并完成变更
• 记录请求者/审批者备注，增强审计就绪度
• 通过阻止单人执行，降低管理员账号被攻破后的影响范围

借助 Security Copilot，Change Review Agent 可分析 MAA 脚本请求的影响并提供建议。

同步包含：Device Offboarding Agent 任务（公开预览）

Admin tasks 现已纳入来自 Device Offboarding Agent 的操作（Microsoft Security Copilot 的一部分，目前处于公开预览）。它利用来自 Intune 与 Microsoft Entra 的信号识别未使用/过期设备，并支持引导式修复，例如禁用 Entra ID 设备对象。

• 下载受影响设备的 CSV 列表
• 采用可重复的清理流程以降低攻击面

对 IT 管理员与终端用户的影响

• 通过单一、按优先级排序的队列，更快响应关键请求
• 通过一致的工作流与日志记录，提升治理与审计就绪度
• 更强的 Zero Trust 防护态势（最小权限 + 受控审批）
• 当 EPM 降低对永久管理员权限的需求并减少服务台升级时，用户生产力更高

行动项 / 后续步骤

1. 在 Intune 管理中心中，导航至 Tenant administration > Admin tasks，验证可见性与角色分配。
2. 审查你的 EPM 提权 策略模型（自动、用户确认、支持团队审批），并标准化规则创建标准。
3. 将 Defender security tasks 的处理方式与事件/修复 SLA 对齐，并在适用时确认 Linux 安全配置文件覆盖。
4. 为最高风险操作启用/扩展 Multi Admin Approval，并记录审批者工作流以满足审计要求。
5. 如果正在试点 Security Copilot，评估 Device Offboarding Agent 预览，以及 Copilot 为 EPM/MAA 提供的上下文分析，在不削弱人工监督的前提下提升决策质量。