變更檢閱代理程式概觀

重要事項

自 2026 年 8 月 31 日起，Microsoft Intune 系統管理中心將不再提供 系統管理中心 (PCA) 和變更檢閱代理程式 (CRA) 。

檢閱使用這些代理程式的任何現有程序，並在此日期之前完成任何作用中的代理程式執行。 避免在這些代理程式上建立新的相依性。

此變更對您有何影響：

• 在 2026 年 8 月 31 日之前，您可以繼續使用現有的原則設定代理程式 (PCA) 和變更檢閱代理程式 (CRA) 體驗。
• 2026 年 8 月 31 日之後，Microsoft Intune 系統管理中心將無法再存取這些代理程式及其相關體驗。
• 如果您的組織依賴這些代理程式，請在淘汰日期之前檢閱並更新受影響的作業流程。

建議動作：

• 在 2026 年 8 月 31 日前完成任何使用中的原則設定代理程式 (PCA) 和變更審查代理程式 (CRA) 活動。
• 避免建立依賴這些代理程式的新工作流程或相依性。
• 審查依賴這些代理的現有管理流程，並在淘汰日期之前計劃替代方法

在公開預覽中，Microsoft Intune 變更檢閱代理程式會使用 Microsoft Security Copilot 的生成型 AI 來評估 Windows 裝置上 PowerShell 指令碼的多管理員核准要求。 它提供以風險為基礎的建議和上下文見解，以幫助管理員了解腳本行為和相關風險。 這些深入解析可協助 Intune 系統管理員更快速地做出明智的決定，決定是否要核准或拒絕要求。

為了產生這些建議，代理程式會彙總來自多個來源的訊號：

• Microsoft Defender 弱點管理 - 用於威脅深入解析
• Microsoft -Entra ID - 用於身分識別風險
• Microsoft Intune - 適用於多管理員 類似要求的核准要求和歷程記錄內容

代理分析這些訊號以評估與每個請求相關的潛在風險，然後提供可操作的見解以支援安全且有效率的變更管理。

必要條件

雲端需求

僅在公有雲上支援代理程式。 政府雲端不支援此功能。

授權需求

若要在 Microsoft Intune 中使用 Security Copilot 代理程式，您的組織必須符合特定的授權需求。

所需授權：

• Microsoft Intune 方案 1 訂閱
• Microsoft Entra ID P2
• Microsoft Defender 弱點管理
• Microsoft Security Copilot具有足夠的安全性運算單元 (SCU)

外掛程式需求

外掛程式可讓 Security Copilot 代理程式與 Microsoft 服務連線並執行特殊動作。

變更檢閱代理程式需要下列外掛程式：

• Microsoft Intune
• Microsoft Entra
• Microsoft Defender 全面偵測回應
• Microsoft 威脅情報

深入了解外掛程式。

平台需求和案例

代理程式支援下列平台和案例的評估和建議：

• Windows
• Intune 中的 PowerShell 指令碼

角色需求

角色需求會根據您設定或使用代理程式以及執行的特定動作而有所不同。

---

若要 啟用和設定 變更檢閱代理程式，請使用具有下列角色的帳戶：

Entra 角色：

• Intune 系統管理員
• 安全性讀取者
• Entra/身分識別 有風險的使用者 (讀取) - 此權限對應至整合 RBAC 權限 安全性狀態 / 身分識別風險 / 有風險的使用者 (讀取) 。

Defender 角色 - Defender 角色型存取控制 (RBAC) 角色取決於您的 Defender 全面偵測回應 實作：

• 整合 RBAC：將 Microsoft Entra ID 安全性讀取器指派給代理程式的身分識別帳戶。 此角色提供對 Defender 弱點管理資料的唯讀存取權，並自動強制執行裝置群組範圍。

• 精細 RBAC：指派自訂 RBAC 角色，其權限相當於整合 RBAC 安全性讀取者角色。 例如：

  • 檢視資料 - Defender 弱點管理 - 此權限對應至整合 RBAC 權限 安全性狀態 / 狀態管理 / 弱點管理 (讀取) 。

  如需將權限對應至整合 RBAC 安全性讀取者角色的詳細資訊，請參閱 Defender 文件中對應Microsoft Defender 全面偵測回應整合角色型存取控制 (RBAC) 一文中的Microsoft Entra全域角色存取權。

  請確定代理程式的身分識別範圍在 Microsoft Defender 中，以包含所有相關的裝置群組。 代理程式無法在其指派範圍之外存取或報告裝置。

Security Copilot 角色：

• Copilot 擁有者

---

若要 使用 代理程式，請使用具有下列角色的帳戶登入：

Intune 角色：

• 唯讀操作員或具有對等權限的自訂角色。

Entra 角色：

• 安全性讀取者

防禦者角色

• 使用代理程式需要與 啟用和設定 代理程式相同的存取權。

Security Copilot 角色：

• Copilot 參與者

代理程式的運作方式

變更檢閱代理程式會使用 Intune 系統管理員帳戶身分識別來運作，並在系統管理員啟動時手動執行。

綜上所述，代理程式每次執行時都會執行下列步驟：

1. 訊號彙總 - 代理程式首先會從下列來源彙總訊號開始：

   • Microsoft Defender 弱點管理 - 用於威脅深入解析
   • Microsoft Entra ID - 身分識別風險
   • Microsoft Intune - 適用於多管理員 類似要求的核准要求和歷程記錄內容

2. 評估 - 代理程式會使用內建於代理程式設定的預先定義邏輯，評估多管理員核准要求的 Windows PowerShell 指令碼。

3. 建議 - 代理程式會檢閱並建議每次執行最多 10 個要求。

   建議只是 建議 。 要求的核准或拒絕仍由 Intune 系統管理員負責。

   建議清單的第一欄會顯示建議的後續步驟，其中會顯示建議的動作，後面接著請求的名稱。 可能的動作包括：

   • 核准 - 低風險要求;可能安全核准。
   • 拒絕 - 高風險要求;不應核准。
   • 需要更多資訊 - 無法完全評估風險。 此要求需要進一步審查。

   每個建議都包含支援詳細資料，可說明：

   • 專員建議背後的理由。
   • 指令碼的目的是要完成或執行的動作。
   • 代理在其流程中審查的因素詳細清單。

代理程式身分識別

代理程式會在安裝期間所使用的 Intune 系統管理員帳戶的身分識別和權限下執行。 代理的動作僅限於該帳戶的權限，並且身分識別會隨著每次執行而重新整理。 如果代理程式連續 90 天未執行，其驗證就會到期，後續執行會失敗，直到其更新為止。 若要維持功能，請在 90 天限制前更新代理程式身分識別。

操作考量

第一次設定和啟動代理程式之前，請檢閱下列考量：

• 系統管理員必須手動啟動代理程式。 一旦啟動，就沒有停止或暫停的選項。
• 代理程式只能從 Microsoft Intune 系統管理中心啟動。
• 只有設定代理程式的使用者才能看到 Microsoft Security Copilot 入口網站中的工作階段詳細資料。
• 代理程式會審查並提供每次執行最多 10 個請求的建議。
• 每個租用戶/使用者內容僅支援一個代理程式執行個體。

設定代理程式

代理程式會在安裝期間所使用的 Intune 系統管理員帳戶的身分識別和權限下運作。 其作業僅限於該帳戶的許可，且身分識別會隨著每次執行而重新整理。 對帳戶許可的任何變更都會影響代理程式在下次執行時的功能。

若要設定變更檢閱代理程式：

1. 在 Microsoft Intune 系統管理中心，移至 Agents>變更檢閱代理程式。

2. 在 [概觀] 中，選取 [設定代理程式] 以開啟 [設定變更檢閱代理程式 ] 窗格。

3. [ 設定變更檢閱代理程式 ] 窗格會列出所需的權限，並提供設定要求的詳細資料。 符合需求時，選取 [啟動代理程式]。

   

代理程式會一直運作，直到它完成評估並在 [概觀] 索引標籤中顯示結果為止。執行完成後，就可以使用代理程式了。

若要深入了解使用代理程式，請參閱 使用變更檢閱代理程式。

移除代理程式

當您移除代理程式時，產生的所有相關資料 （包括建議和活動） 都會被刪除。 先前套用的建議保持不變。

移除代理程式執行個體的步驟：

1. 在 Microsoft Intune 系統管理中心選取 [代理程式]。
2. 選取您要移除的代理程式執行個體。
3. 選取 [移除代理程式] 並確認移除。

移除後：

• 代理程式窗格會返回其原始狀態。
• 系統管理員稍後可以重複設定程序，以重新安裝代理程式。

協助打造 Intune 代理程式的未來

加入我們的 Intune 代理程式意見反應論壇，分享深入解析並影響 Microsoft Intune 即將推出的功能。

註冊並深入了解： https://aka.ms/IntuneAgentsForum

相關內容

• 使用變更檢閱代理程式