核心用法
intune-graph 是一个通过 Microsoft Graph API 管理 Microsoft Intune 和 Entra ID 设备的专业技能。它支持完整的设备生命周期管理：从设备注册（Autopilot、Apple DEP、Android Enterprise）、合规策略配置、应用部署，到远程操作（同步、重启、锁定、擦除、退休）。
使用方法简洁统一：通过 scripts/graph.sh 包装器执行所有 API 调用，支持自动分页、节流重试和 Token 缓存。命令格式为 scripts/graph.sh <METHOD> <ENDPOINT> [PAYLOAD]，高危操作需配合 --confirm 或 --confirm-name 标志执行。支持多租户环境，可通过 INTUNE_PROFILE 切换不同租户配置。
显著优点
1. 分层安全确认机制：独创 Tier 0-3 四级操作分级，读操作免确认，设备同步等轻量操作需简短确认，策略创建需详细摘要确认，而擦除/退休等毁灭性操作强制要求用户输入精确设备名称二次验证，大幅降低误操作风险。
2. 只读保护模式：通过 INTUNE_READ_ONLY 环境变量可全局禁用所有写入操作，适合报告生成和审计场景的安全部署。
3. 网络访问严格受限：内置 URL 白名单仅允许访问 login.microsoftonline.com 和 graph.microsoft.com，拒绝任何非 Graph API 请求，防止数据外泄。
4. 零第三方依赖：仅依赖系统标准工具（bash、curl、jq），无 npm/pip 包依赖，彻底规避供应链攻击风险。
5. Secret 保护完善：客户端密钥绝不输出到 stdout 或日志，Token 缓存文件权限设置为 0600，符合数据安全最佳实践。
6. 多语言支持：自动识别用户语言并以相同语言响应，输出格式优化为 Markdown 表格而非原始 JSON。
潜在缺点与局限性
1. 依赖微软生态：仅支持 Microsoft Intune/Entra ID 环境，无法管理其他 MDM 平台（如 VMware Workspace ONE、Jamf）。
2. Beta API 不稳定性：部分高级功能（Settings Catalog 搜索、驱动更新、健康脚本等）依赖 /beta 端点，微软可能在不通知的情况下更改合约，存在 404 风险。
3. Token 缓存本地存储：OAuth Token 以 JSON 形式缓存在本地磁盘，虽权限受限但非内存存储，在共享多用户环境中存在一定泄露风险。
4. 审计日志支持待完善：安全报告提示审计日志功能状态为 warn，可能缺乏完整的操作追溯能力。
5. 高权限应用风险：使用 Application 权限而非 Delegated 权限，Token 具有较高权限范围，一旦泄露影响面广。
6. 个人开发者维护：来源可信度为 T3（个人开发者/社区项目），长期维护稳定性和企业 SLA 保障弱于微软官方工具。
适合的目标群体
- MSP（托管服务提供商）：多租户支持特性使其成为管理多个客户 Intune 环境的理想工具
- 企业 IT 管理员：需要批量管理 Windows、iOS、Android、macOS 设备的中大型企业终端管理团队
- 安全合规专员：需要生成合规报告、审计设备状态、追踪策略变更的审计人员
- 自动化运维工程师：希望将 Intune 管理集成到 Shell 脚本或 CI/CD 流程的技术团队
常规风险
| 风险类型 | 说明 | 缓解建议 |
|---------|------|---------|
| **误操作风险** | Tier 3 操作（wipe/retire）会导致数据永久丢失 | 启用只读模式测试，批量操作前预览完整设备列表 |
| **凭证泄露** | CLIENT_SECRET 通过环境变量传递，可能被进程查看 | 使用 Azure Key Vault 或 CI/CD 加密变量，定期轮换密钥 |
| **Token 过期** | 60 分钟 Token 有效期，长任务可能中断 | 依赖包装器自动刷新机制，避免手动 Token 操作 |
| **API 节流** | 微软 Graph 存在速率限制 | 包装器已内置 429 重试逻辑，无需额外处理 |
| **Beta 端点变更** | 预览 API 可能随时调整或下线 | 生产环境优先使用 v1.0，beta 功能需做好兼容性测试 |
| **网络依赖** | 完全依赖微软云服务可用性 | 设计离线容错机制，关键操作避免维护窗口期执行 |
| **权限蔓延** | 长期使用的 Azure AD 应用可能积累过多权限 | 定期审计应用注册，按场景拆分最小权限应用 |
建议生产环境始终启用 INTUNE_READ_ONLY=true 进行功能验证，为写入操作单独创建受限权限的 Azure AD 应用，并建立完整的 Secret 轮换和监控机制。