重要事項
自 2026 年 6 月 1 日起，將不再提供裝置下線代理程式。
在此日期之前，請檢閱您現有的下架程序，並轉換至先前使用的裝置生命週期和 Microsoft Intune 中的補救選項。
裝置下線代理程式時間表
- 2026 年 4 月 30 日： 您無法設定裝置下線代理程式。
- 2026 年 6 月 1 日： 裝置上線代理程式已從 Intune 系統管理中心移除，且無法使用。
這項變更對您有何影響
- 如果已設定，您可以繼續使用裝置上線代理程式，直到 2026 年 6 月 1 日 為止。
- 如果您在 2026 年 4 月 30 日 到 2026 年 6 月 1 日之間刪除代理程式，就無法再次設定。
- 2026 年 6 月 1 日之後，就無法存取裝置下線代理程式。
建議的動作
- 在 2026 年 6 月 1 日之前完成任何使用中的下線動作。
- 避免在裝置上線代理程式上建立新的相依性。
- 在 Intune 中將現有的下線工作流程轉換為先前使用的裝置生命週期和補救選項。
裝置上線代理程式可識別 Intune 和 Entra ID 中的過時或未對齊的裝置，提供可採取動作的深入解析，並在下線任何裝置之前要求系統管理員核准。 裝置下線代理程式透過呈現深入解析並處理自動清理可能不夠的模棱兩可的情況來補充現有的Intune自動化。
必要條件
雲端需求
僅在公有雲上支援代理程式。 政府雲端不支援此功能。
授權需求
若要在 Microsoft Intune 中使用 Security Copilot 代理程式，您的組織必須符合特定的授權需求。
所需授權：
- Microsoft Intune 方案 1 訂閱
- Microsoft Security Copilot具有足夠的安全性運算單元 (SCU)
外掛程式需求
外掛程式可讓 Security Copilot 代理程式與 Microsoft 服務連線並執行特殊動作。
裝置下線代理程式需要下列外掛程式：
裝置平台需求
代理程式支援跨多個平台由 Intune 管理的裝置，包括 Windows、iOS/iPadOS、macOS、Android 和 Linux。
它同時適用於公司擁有和 BYOD (攜帶您自己的裝置) 案例。代理程式不支援：
- 加入混合式 Entra 的 Windows 裝置
- Windows Autopilot 裝置
- 共用的裝置
- Microsoft Teams 電話
角色需求
角色需求會根據您設定或使用代理程式以及執行的特定動作而有所不同。
若要 啟用、 設定和 刪除 裝置下線代理程式，請使用具有下列角色的帳戶：
Intune 角色，可以執行其中一個動作：
Entra 角色，可以：
Security Copilot 角色：
若要 使用 代理程式並執行離線動作，請使用至少具有下列角色的帳戶：
- 安全性讀取者
- 具有 Microsoft.Directory/Devices/Standard/Read 權限的自訂角色
若要從代理程式內部執行動作，例如停用 Entra 中的裝置，您必須擁有停用裝置權限。 您不需要此權限即可執行或檢視代理程式的結果。
運作方式
為了支援安全且有效率的裝置生命週期管理，裝置下線代理程式會執行一系列自動化評估和動作。 以下是其工作流程的細分：
1. 訊號聚合
裝置下線代理程式首先會從彙總來自 Microsoft Intune 和 Microsoft Entra ID 的訊號開始。 這些訊號包括指示器，可協助判斷裝置是否處於活動狀態、過時或配置錯誤。
2. 評估
代理程式會使用預先定義的邏輯和系統管理員提供的任何選擇性 自訂指示 來評估每個裝置。
3. 建議
根據此評估，代理會產生建議，將裝置標記為離線，以及建議的動作及其背後的理由。
4. 管理員核准
未經系統管理員明確核准，不得對裝置進行任何變更。 代理程式會提供詳細的建議，但讓裝置下線的最終決定權在於 IT 系統管理員。
5. 輔助補救
在管理員核准後，裝置下線代理程式會停用對應的 Entra ID 物件。 它也會提供其他補救步驟的指引，例如從 Microsoft Defender 或 Apple Business Manager 中移除裝置，以促進下架程序。
代理程式身分識別
裝置上線代理程式會在安裝期間所使用的 Intune 系統管理員帳戶的身分識別和權限下執行。 其動作僅限於該帳戶的權限，且身分識別會隨著每次執行而重新整理。 如果代理程式未連續 90 天執行，其驗證會過期，後續執行會失敗，直到更新為止。 若要維持功能，請在 90 天限制前 更新代理程式 身分識別。
操作考量
在執行裝置下線代理程式之前，請注意下列事項：
- 系統管理員必須手動啟動代理程式;一旦啟動，就無法暫停或停止。
- 系統管理員只能從 Microsoft Intune 系統管理中心啟動代理程式。
- 只有設定代理程式的系統管理員才能在 Microsoft Security Copilot 入口網站中檢視工作階段詳細資料。
- 代理程式可識別過去 30 天內已從 Intune 淘汰、抹除或刪除的裝置。
- 代理程式會將結果限制為前 10,000 個裝置。
- 在管理員核准下架後，代理程式會停用 Entra ID 物件。 其他補救步驟會作為系統管理員的指示提供。
- 代理程式不會在執行中保留建議;重新執行會清除先前的建議。
- 每個租用戶僅支援一個代理程式執行個體。
重要事項
代理程式所報告的資料會透過代理程式建議呈現。 此資訊可能對有權存取 Intune 系統管理中心代理程式的系統管理員可見，即使其中包含Microsoft Entra ID中) 的指派管理單位 (AU 以外的資料。
啟用代理程式
若要啟用裝置下線代理程式，請遵循下列步驟：
- 在 Microsoft Intune 系統管理中心，選取 [代理程式]，然後選取您想要啟用的代理程式。
- 選取 [設定代理程式 ] 以開啟設定窗格。
- 檢閱詳細資料以確保需求已就緒，然後選取 [啟動代理程式]。
代理程式會執行直到完成，然後在 [ 概觀 ] 索引標籤中顯示其結果。
![裝置下線代理程式的 [設定] 窗格螢幕擷取畫面。](media/device-offboarding-agent/set-up.png#lightbox)
設定自訂指示
使用自訂指示，根據貴組織的需求來引導客服專員的邏輯。 自訂指示有助於完善代理的評估標準，允許您將特定裝置納入或排除下線建議。
這些指示可用來：
- 包含或排除特定物件識別碼。
- 設定裝置活動的臨界值。
例如，如果您的組織有您不想標幟為離線的高階主管裝置，您可以使用自訂指示來排除它們。 如果沒有此排除，代理程式可能會偵測到這些裝置上的身分識別不符，並使用 SCU 來建議下架，即使這樣做並不適當。 自訂指示可根據貴組織需求來引導代理程式的邏輯，以協助您防止該問題發生。
自訂指示會在代理程式執行之間持續存在，因此一旦您設定了自訂指示，每次代理程式執行時都會評估它們。 您可以隨時在 [ 設定] 索引標籤中變更自訂指示，並重新執行代理程式。 建議中的 [因素] 區段會醒目提示在形成要離線的建議裝置清單時，已考慮哪些自訂指示的詳細資料。
若要設定自訂指示：
- 在 Microsoft Intune 系統管理中心，選取 [代理>程式] [裝置下線代理程式] (預覽) 。
- 選取 設定 索引標籤。
- 在 [指示 ] 欄位中，輸入提示以自訂客服專員的評估準則。
您可以使用的自訂指示範例
排除具有 ID 的裝置 [...]
排除上次活動在 [...] 之後的裝置
排除上次活動之前有 [...]
僅包括具有 ID 的設備 [...]
重要事項
如果您包含一或多個 deviceId，且在過去 30 天內未遭到淘汰、抹除或刪除，則代理程式將無法執行。
僅包括最後一次活動在 [...] 之後的設備
僅包括上次活動之前有 [...]
續訂代理程式
代理程式會在閒置 90 天後過期。 驗證到期時，代理程式將失敗執行，直到您重新驗證為止。 您可以隨時續訂驗證。
隨著到期時間的臨近，Intune 會在代理程式概觀頁面上顯示警告。 Copilot 擁有者和 Copilot 參與者都可以看到此橫幅，提示您更新代理程式身分識別。
若要續訂代理程式：
- 開啟 Microsoft Security Copilot 系統管理中心，並使用具有必要權限的帳戶登入。
- 選取 [代理程式]。
- 尋找需要續約的代理程式，然後選取 [前往代理程式]。
- 在代理程式詳細資料頁面上，選取 ...，然後選取 編輯。
- 選取 [續訂驗證]。 代理程式預設會使用您登入的認證。 若要使用不同的認證，請選取 [重新驗證 ] 並提供認證。
續訂後，警告橫幅會消失，並顯示快顯通知確認成功。
移除代理程式
當您移除代理程式時，產生的所有相關資料 （包括建議和活動） 都會被刪除。 先前套用的建議保持不變。
移除代理程式執行個體的步驟：
- 在 Microsoft Intune 系統管理中心選取 [代理程式]。
- 選取您要移除的代理程式執行個體。
- 選取 [移除代理程式] 並確認移除。
移除後：
- 代理程式窗格會返回其原始狀態。
- 系統管理員稍後可以重複設定程序，以重新安裝代理程式。
協助打造 Intune 代理程式的未來
加入我們的 Intune 代理程式意見反應論壇，分享深入解析並影響 Microsoft Intune 即將推出的功能。
註冊並深入了解： https://aka.ms/IntuneAgentsForum