本文由生成式 AI 辅助的自动生成流程创建。
什么是 Microsoft Intune 高级功能？梳理 2026 年 7 月之后的 E3/E5 差异
关于本文
本文基于截至 2026 年 9 月 18 日的微软官方信息，梳理了 Intune Plan 2 / Intune Suite 系列高级功能，以及 2026 年 7 月之后在 Microsoft 365 E3/E5 中的分配情况。验证状态：📘 微软官方信息已确认・真机未验证
Intune 不仅提供基本的设备和应用管理，还包含 Remote Help、Advanced Analytics、Endpoint Privilege Management、Microsoft Cloud PKI、Enterprise Application Management 等高级功能。
这一领域自 2026 年 7 月起，Microsoft 365 E3/E5 的功能分配发生了重大变化因此，仅凭 2025 年之前“高级功能全部需要额外购买 Intune Suite”的说明，已无法对当前的订阅做出准确判断。
2026 年 7 月之后的 E3/E5 差异
在 Microsoft Intune 的 Planning Guide（规划指南）和 2026 年 7 月的 What's New（新增功能）中，对商业版 Microsoft 365 E3/E5 的功能分配进行了如下说明。
| 高级功能 | Microsoft 365 E3 | Microsoft 365 E5 |
|---|---|---|
| Intune Plan 2 | ○ | ○ |
| Remote Help | ○ | ○ |
| Advanced Analytics | ○ | ○ |
| Endpoint Privilege Management | – | ○ |
| Microsoft Cloud PKI | – | ○ |
| Enterprise Application Management | – | ○ |
简而言之，E5 在包含 E3 所有内容的基础上，额外增加了 EPM、Cloud PKI 和 Enterprise Application Management。
但微软说明称，这一变更将逐步推出（rollout），并自动预配（provisioning）到目标租户。由于在变更前会向 Microsoft 365 管理中心发送通知，因此不能仅凭“官方表格里写着 E5 包含，所以应该能用”来判断，还需确认自己租户的 Message Center（消息中心）和许可证状态。
同时也需注意适用范围
2026 年 7 月的官方指南中说明，此变更适用于商业版 Microsoft 365 E3/E5，而教育版（Education）和一线员工版（Frontline Worker）在当时并未应用相同的变更。政府版（Government）的对应情况也有所不同。
也就是说，切勿仅凭“E3/E5”字样就将相同的条件套用到所有云环境和所有 SKU 上。
高级功能的定位
flowchart TD
P1[Intune 基本管理] --> E3[Microsoft 365 E3 高度機能]
E3 --> P2[Intune Plan 2]
E3 --> RH[Remote Help]
E3 --> AA[Advanced Analytics]
E3 --> E5[Microsoft 365 E5 追加領域]
E5 --> EPM[Endpoint Privilege Management]
E5 --> PKI[Microsoft Cloud PKI]
E5 --> EAM[Enterprise Application Management]
面向初学者的各项功能说明
Remote Help
这是一种云端远程协助服务，支持人员可以安全地连接到用户设备并提供帮助。可以通过基于角色的访问控制（RBAC）来控制支持人员的权限。
Advanced Analytics
这是一组用于分析设备性能和用户体验的功能，可帮助获取诸如“启动缓慢的设备集中在何处”或“电池状态是否存在问题”等改进依据。
Endpoint Privilege Management (EPM)
该机制允许用户平时保持标准用户身份，仅在需要执行特定操作时才提升为管理员权限。用于减少“让所有人成为本地管理员”的运维方式。
Microsoft Cloud PKI
PKI（公钥基础设施）是用于发行、更新和吊销数字证书的基础设施。Cloud PKI 在云端管理面向 Intune 托管设备的证书生命周期，可用于 Wi-Fi、VPN、设备身份验证等。
Enterprise Application Management
该功能允许从微软托管的 Enterprise App Catalog（企业应用目录）中选择 Win32 应用，并利用安装条件和检测设置来提高分发管理的效率。
实际业务中的选择与使用
flowchart LR
Q{困っていること} -->|PC操作を支援したい| RH[Remote Help]
Q -->|遅いPCを特定したい| AA[Advanced Analytics]
Q -->|管理者権限を減らしたい| EPM[EPM]
Q -->|Wi-Fi/VPN証明書を管理したい| PKI[Cloud PKI]
Q -->|Win32アプリ配布を効率化| EAM[Enterprise App Management]
不要将“引入 Suite”本身作为目的，而应将功能应用到当前遇到痛点的运维场景中。
首先尝试：了解自己租户的权益
打开 Intune 管理中心的Tenant administration或Intune add-ons附近页面，并确认以下内容：
显示为可用的高级功能。
是试用版（trial）还是正式许可证。
目标用户。
是否存在现有的策略或设置。
成功的衡量标准
不是停留在“通常情况下 E5 包含此功能”的层面，而是能够明确说明“在自己的租户中是否已预配（provisioning）、谁可以使用、或者是否仍在等待推出（rollout）”。
改变一处
如果在可以使用 Advanced Analytics 的环境中，可以不修改设置，而是仅更改报告的时间范围或目标设备范围（device scope），来确认分析结果的差异。
EPM 落地案例：减少本地管理员
sequenceDiagram
participant U as 標準ユーザー
participant E as Endpoint Privilege Management
participant P as Elevation Policy
participant A as 管理者/承認者
U->>E: 管理者権限が必要なアプリを実行
E->>P: 昇格ルールを評価
P-->>E: 許可/承認要求/拒否
E-->>U: ポリシーに沿って処理
E-->>A: 必要に応じ監査・承認情報
目的是从“遇到问题就直接赋予管理员权限”转变为“仅对所需的可执行文件、用户和条件进行权限提升”。
Cloud PKI 落地案例：证书生命周期
在 Cloud PKI 中，可以配置根 CA/颁发 CA（root/issuing CA），并通过 Intune 的 SCEP 配置文件等向托管设备分发证书。微软官方介绍了在云端管理证书的颁发、更新和吊销，从而无需本地 CA、NDES 或 Intune 证书连接器（certificate connector）的配置方式。
由于证书基础设施直接关系到身份验证，因此不要直接创建生产环境的 CA，而应先设计 PKI、CA 层级结构（hierarchy）、吊销、RBAC 以及与现有证书的迁移方案。
普通用户、业务人员、IT 部门的确认要点
| 角色 | 高级功能的影响 |
|---|---|
| 普通用户 | Remote Help 连接、权限提升申请、证书分发等 |
| 服务台（Helpdesk） | Remote Help、EPM 审批、设备分析 |
| IT 部门 | 许可证管理（licensing）、RBAC、PKI、应用目录（app catalog）、审计、推出（rollout） |
管理员需要确认的项目
是商业版 E3/E5，还是教育版（Education）、一线员工版（Frontline）或政府版（Government）。
消息中心（Message Center）是否已收到高级功能预配（provisioning）通知。
在 Intune 附加组件（add-ons）中，该功能是否已实际启用。
是否已通过 RBAC 将 Remote Help 的协助者（helper）权限最小化。
EPM 的权限提升规则是否设置得过于宽泛。
是否已设计 Cloud PKI 的根 CA/颁发 CA（root/issuing CA）、吊销以及证书用途。
是否已明确 Enterprise App Catalog 中应用更新的责任归属。
是否已向相关人员告知通过 Advanced Analytics 获取的信息及其使用目的。
是否误将试用版（trial）当成了正式许可证。
常见误区
“E3 只有 Plan 1”
官方指南指出，自 2026 年 7 月起，商业版 Microsoft 365 E3 将新增 Plan 2、Remote Help 和 Advanced Analytics。
“如果是 E5，就会直接附带一整套名为 Intune Suite 的独立产品许可证”
在实际业务中，按功能维度确认 E5 包含哪些高级功能会更加稳妥。Suite 还有其他的订阅形式。
“既然官方写着会增加，那今天所有租户就都能立刻使用”
微软已说明将采用分阶段推出（rollout）和自动预配（provisioning）。请在实际租户中进行确认。
微软官方信息
2026 年的 Intune 并非“Plan 1 + 高级功能全部单独销售”这样简单的格局。订阅 SKU → 2026 年的新权益 → 租户推出（tenant rollout） → 实际预配（provisioning）需要确认到这一步再做出判断。
