EPM של Intune מול Admin By Request: מה באמת ההבדל

מיולי 2026 EPM של Intune כלול ב-Microsoft 365 E5 בלי עלות נוספת. ארגונים שכבר משלמים על E5 שואלים, ובצדק, למה לקנות פתרון EPM נוסף.

כדי לענות על השאלה הזו בצורה הוגנת, עברנו על התיעוד הרשמי של שני המוצרים ב-Microsoft Learn ובמרכז התיעוד של Admin By Request, והתמקדנו בסביבות Windows. בהמשך הוספנו גם את ההבדלים שהיצרן מדגיש, כמו תמיכה ב-macOS וב-Linux. המטרה היא לא להוכיח שמוצר אחד טוב יותר, אלא להראות איפה כל אחד מתאים.

מה התיעוד של מיקרוסופט מגלה על EPM של Intune

כל המגבלות בסעיף הזה לקוחות מהתיעוד הרשמי של מיקרוסופט ב-Microsoft Learn, ולא מחומרים שיווקיים של מתחרים.

אילו תחנות נתמכות

רק תחנות שמחוברות ל-Entra ID או בחיבור היברידי, ורשומות ב-Intune או ב-Configuration Manager בניהול משותף (דרישות מקדימות). תחנות ב-Workgroup, בדומיין מקומי בלבד או רשומות (Workplace Joined) לא נתמכות (בעיות ידועות).
רק Windows 10 ו-Windows 11 בגרסאות 64 ביט. Windows Server לא נתמך.
בסביבות וירטואליות נתמכים רק Windows 365 ו-AVD במכונות של משתמש יחיד (שאלות נפוצות).
EPM לא עובד ברשת עם SSL Inspection, אלא אם מחריגים את הכתובות שלו מהבדיקה.

מה אפשר להריץ עם הרשאות

רק קבצי exe, ‏msi וסקריפטים של PowerShell. אפליקציות UWP לא נתמכות.
פריטים בלוח הבקרה ובהגדרות של Windows לא ניתנים להרצה עם הרשאות. מיקרוסופט מציעה כפתרון לארוז אותם כסקריפטים.
קבצים שנמצאים בתיקייה משותפת ברשת או בכונן ממופה לא נתמכים.
אפליקציה שרצה עם הרשאות רצה בחשבון וירטואלי מבודד, ולכן לא יכולה לגשת לתיקיות רשת, ל-OneDrive, ל-SharePoint או ל-Azure. האפשרות לעקוף את זה, הרצה בשם המשתמש הנוכחי, מגדילה לפי מיקרוסופט את משטח התקיפה.
אפשר להריץ רק קובץ אחד בכל פעם, והאפשרות להרצה עם הרשאות לא מופיעה בתפריט הלחיצה הימנית של פריטים בתפריט התחל ובשורת המשימות.

תהליך האישור

בקשה שאושרה תקפה ל-24 שעות בדיוק. אין אפשרות לקבוע זמן אחר ואין אפשרות לבטל אישור לפני שהוא פג (אישורי תמיכה).
כשבקשה נדחית, המשתמש לא מקבל הודעה. מנהל המערכת צריך לעדכן אותו ידנית.

דיווח וניהול

נתוני הדוחות מעובדים פעם ב-24 שעות ונשמרים 30 יום בלבד (דוחות).
הגדרות ברירת המחדל חלות על התחנה ולא על המשתמש, גם כשמקצים אותן לקבוצת משתמשים.
כשמכבים את EPM בתחנה, הרכיבים שלו נמחקים רק אחרי 7 ימים.
EPM לא מנהל בכלל משתמשים שעדיין יש להם הרשאות אדמין בתחנה, והוא לא תואם כרגע ל-Administrator Protection של Windows.

מה יש ב-Admin By Request שאין ב-Intune

היכולות בסעיף הזה לקוחות מהתיעוד הרשמי של Admin By Request, ומתייחסות לגרסת Windows.

כיסוי רחב יותר של תחנות

תמיכה בתחנות בלי Active Directory, בכמה דומיינים ובתחנות שמחוברות ל-Entra ID, במקביל (מפרט Windows). מגרסה 8.7 נתמכים גם חשבונות Entra רשומים (הערות גרסה).
Windows 10 ומעלה בגרסאות x86, ‏x64 ו-ARM64, וגם Windows Server מגרסת 2008 R2 עם ממשק גרפי (מהדורות ויכולות).
אין צורך ב-Intune. אפשר להפיץ את הסוכן דרך Intune, ‏SCCM או כל כלי הפצה אחר.

גמישות בהרצה

כללים לפי מיקום קובץ, כולל תיקייה משותפת ברשת.
Admin Session: הרשאות אדמין זמניות על כל התחנה, למשימות שדורשות כמה פעולות ברצף. מגרסה 9.0 אפשר גם לסיים סשן מרחוק מהפורטל.
Tray Tools: כלי מערכת הפעלה, כמו לוח הבקרה והוספת מדפסת, שרצים עם הרשאות אדמין ישירות מהתפריט של הסוכן.

עבודה בלי חיבור לרשת

משתמש שאין לו חיבור לאינטרנט מקבל קוד PIN חד-פעמי מצוות ה-IT, בשיטת אתגר ותגובה. הקוד תקף לבקשה אחת בלבד, והתיעוד מסונכרן לפורטל כשהתחנה חוזרת לרשת.

אבטחה

סריקה של כל קובץ עם OPSWAT MetaDefender לפני שהוא רץ עם הרשאות.
חסימת הרצה של קבצי מערכת, כמו cmd.exe או regedit.exe, עם הרשאות, וחסימה של תהליכי משנה שלהם (הגדרות Windows). זה סוגר את הפרצה שבה משתמש מנצל הרשאות ל-CMD או ל-PowerShell כדי ליצור לעצמו חשבון אדמין.
Device Owner: אפשר לחסום הרשאות לכל מי שאינו המשתמש הראשי של התחנה, כלומר המשתמש הראשון בלי הרשאות אדמין שהתחבר אליה. זה חשוב במיוחד בתחנות משותפות. ב-Intune, לעומת זאת, כל משתמש בתחנה יכול להגיש בקשה.
תקופת השבתה אחרי זיהוי נוזקה (Blackout). כשמזוהה נוזקה בתחנה, המשתמש לא יכול לבקש הרשאות חדשות למשך זמן שהארגון מגדיר, בדקות (הגדרות Windows). הפיצ'ר זמין מגרסה 9.0.
עצירת Admin Session כשמורצת נוזקה. אם משתמש מריץ קובץ זדוני בתוך Admin Session, הקובץ נחסם, כל הסשן נסגר מיד, וצוות ה-IT מקבל התראה במייל (זיהוי נוזקות).
טווח גרסאות באישורים מראש. אפשר להגביל אישור מראש לגרסה מינימלית ולגרסה מקסימלית של אפליקציה (ניהול הפורטל ל-Windows). גרסה מינימלית מונעת הרצה של גרסאות ישנות עם חולשות ידועות, וגרסה מקסימלית מונעת מגרסה חדשה שלא נבדקה לקבל אישור אוטומטי. ב-Intune אפשר להגדיר רק גרסה מינימלית (כללי הרשאה).
הגנה מפני שינוי שעון. המערכת מזהה שינוי בשעון של התחנה וסוגרת מיד את הסשן, כדי שמשתמש לא יאריך לעצמו את זמן ההרשאות.

תמיכה ושגרת עבודה

Support Assist: איש תמיכה מקבל הרשאות זמניות בתוך הסשן של המשתמש, בלי הרשאות אדמין קבועות.
Break Glass: חשבון אדמין מקומי חד-פעמי ומוגבל בזמן, למקרי חירום.
אפליקציית מובייל לאישור בקשות, ותיעוד שזמין בפורטל בלי המתנה לעיבוד.

יתרונות נוספים שהיצרן מדגיש

בנוסף למה שמצאנו בתיעוד, Admin By Request מדגישים במאמר ההשוואה שלהם כמה יתרונות נוספים (המאמר המלא):

תמיכה בכמה מערכות הפעלה. EPM של Intune עובד רק על Windows. Admin By Request מנהל Windows, ‏macOS ו-Linux מאותו פורטל ובאותה מדיניות. ב-macOS נוספה לאחרונה גם תמיכה ב-sudo מנוהל לכלי שורת פקודה.
סוכן קטן. הסוכן של Admin By Request קטן מ-3MB, לעומת תוסף של יותר מ-20MB ב-Intune. אותו סוכן מריץ גם את Secure Remote Access ואת Web Access Management, כך שאין צורך בסוכן נוסף.
עדכון מהיר. לפי היצרן, שינוי מדיניות מגיע לתחנות בלי המתנה לסבב סנכרון, לעומת 20 עד 30 דקות ב-Intune.
הגנה מפני עקיפה. אחרי ההתקנה, Admin By Request הוא הדרך היחידה לקבל הרשאות אדמין, ומשתמש לא יכול להסיר או לעקוף אותו בעזרת ההרשאות שקיבל. כל הרצה עם הרשאות מתועדת, כולל עץ התהליכים המלא.
ניהול בקנה מידה גדול. במקום מדיניות נפרדת לכל קבוצה, מגדירים ברירת מחדל גלובלית ושכבות של חריגים לפי מחלקה, מיקום או צורך.
אוטומציה. אישור אוטומטי מבוסס AI ולמידת מכונה, ואפליקציה לאישור בקשות מהטלפון.
תמיכה כלולה. התמיכה כלולה במחיר לתחנה, עם מענה ראשון תוך יום עסקים. ב-Intune התמיכה עוברת בערוצים הכלליים של מיקרוסופט.
גמישות בהפצה. אפשר להפיץ את הסוכן דרך Intune, ‏SCCM או Jamf, ולא חייבים Intune בכלל.

חשוב לזכור שאלה טענות של היצרן. את מה שחשוב לכם במיוחד כדאי לבדוק בעצמכם, למשל בפיילוט על התוכנית החינמית.

השוואה במבט אחד

נושא	Intune EPM	Admin By Request
מערכות הפעלה	Windows בלבד	Windows, macOS ו-Linux מאותו פורטל
גודל הסוכן	תוסף של יותר מ-20MB	פחות מ-3MB
עדכון מדיניות בתחנות	20 עד 30 דקות	בלי המתנה לסבב סנכרון
סוגי חיבור של התחנה	Entra או היברידי בלבד	Workgroup, דומיין מקומי, היברידי, Entra, Entra רשום
Windows Server	לא נתמך	נתמך מגרסה 2008 R2
מערכות 32 ביט	לא נתמכות	נתמכות
AVD	משתמש יחיד בלבד	גם מכונות מרובות משתמשים
דרישה ל-Intune	חובה, או ניהול משותף עם SCCM	לא נדרש
קבצים מתיקיית רשת	לא נתמכים	נתמכים
לוח הבקרה והגדרות Windows	לא ניתנים להרצה עם הרשאות	דרך Tray Tools
הרשאות זמניות לכל התחנה	אין	Admin Session
עבודה בלי חיבור לרשת	אין	קוד PIN חד-פעמי
משך אישור	24 שעות קבועות, בלי ביטול	מוגדר בפורטל, וניתן לסיום מרחוק
סריקת קבצים	אין	OPSWAT MetaDefender
חסימת CMD ו-PowerShell עם הרשאות	תלוי בתכנון הכללים	הגדרה ייעודית, כולל תהליכי משנה
השבתה אחרי זיהוי נוזקה	אין	תקופת Blackout שהארגון מגדיר
נוזקה בתוך סשן הרשאות	אין	חסימה, סגירת הסשן והתראה במייל
גרסאות באישור מראש	גרסה מינימלית בלבד	גרסה מינימלית ומקסימלית
הגבלה לבעל התחנה (Device Owner)	אין, כל משתמש יכול לבקש	יש
הרשאות לתומכים	אין מנגנון ייעודי	Support Assist
חשבון חירום	דרך Windows LAPS, כלי נפרד	Break Glass מובנה
זמינות נתוני דוחות	עיבוד פעם ב-24 שעות	בלי המתנה לעיבוד
הסרת הרכיבים מהתחנה	אחרי 7 ימים	עם הסרת הסוכן
ניהול מדיניות	מדיניות לכל קבוצה	ברירת מחדל גלובלית ושכבות חריגים (Sub-Settings)
אישור אוטומטי חכם	אין	אישור מבוסס AI ולמידת מכונה
אפליקציית מובייל לאישורים	גישה לפורטל בלבד	iOS ו-Android
תמיכה טכנית	ערוצי התמיכה הכלליים של מיקרוסופט	כלולה במחיר, מענה ראשון תוך יום עסקים

ההשוואה מבוססת על התיעוד הרשמי של שני המוצרים נכון לאוקטובר 2026. השורות על AVD מרובה משתמשים וזמינות נתוני הדוחות מבוססות על חומרי Admin By Request.

מתי EPM של Intune מספיק

Intune EPM הוא לא בחירה שגויה לכולם. הוא יכול להספיק לארגון שעונה על כל התנאים הבאים:

כל התחנות הן Windows 10 או 11 בגרסת 64 ביט, מחוברות ל-Entra או בחיבור היברידי ומנוהלות ב-Intune.
אין צורך בתמיכה ב-Mac, ב-Linux או ב-Windows Server.
הארגון כבר משלם על Microsoft 365 E5, כך ש-EPM כלול.
הצרכים בסיסיים: הרצה של תוכנות מוכרות, בלי עבודה בלי חיבור לרשת ובלי צורך בהרשאות זמניות לאנשי תמיכה.

אם אחד התנאים לא מתקיים, או שהארגון על E3 וצריך לקנות את EPM בנפרד, כדאי לבדוק את שני המוצרים זה לצד זה. אפשר להתקין את Admin By Request בחינם על עד 25 תחנות, גם דרך Intune, ולהשוות בתנאים אמיתיים.

לסיכום

EPM של Intune הוא פתרון בסיסי שמתאים לסביבה הומוגנית של מיקרוסופט. בסביבות מעורבות, בארגונים עם שרתים, תחנות בלי Entra או צורך בעבודה בלי חיבור, ובכל מקום שבו מוקד התמיכה צריך הרשאות, המגבלות שלו מורגשות מהר.

ב-OnCloud אנחנו עובדים עם שני המוצרים, ועוזרים ללקוחות לבחור לפי הסביבה שלהם ולא לפי הרישיון שכבר יש להם. רוצים לבדוק מה מתאים לכם?

תיאום פגישה לדמו טכני