Microsoft 365 E3、E5、EMS 安全功能对比

简短回答： Microsoft 365 E3 提供身份（Entra ID P1）、Defender for Office 365 Plan 1（自 2026 年 7 月 1 日起包含）、基础终端防护（Defender for Endpoint Plan 1）、Intune、数据防泄漏和邮件加密。E5 在此之上增加 Entra ID P2、Defender for Office 365 Plan 2、Defender for Endpoint Plan 2、Defender for Identity、Defender for Cloud Apps、Audit (Premium)、内部风险管理和自动标记。Enterprise Mobility + Security（EMS）是单独的身份与设备套装，E3 对应 Entra ID P1，E5 对应 Entra ID P2。拥有某项功能，不等于已经配置好。

本文写给已经在为 Microsoft 365 付费的 IT 负责人和企业主，帮你弄清自己已经有哪些安全功能，以及要不要讨论 E5。你会得到每个套餐的功能清单、一份"已包含但需要有人去打开"的短清单，以及查看自己授权的方法。事实已于 2026 年 10 月 28 日对照 Microsoft Learn 核对。本文不涉及价格，价格请看微软的价格页面。

名称与近期变化

Microsoft 365 E5 Security 现在叫 Microsoft Defender Suite。微软的 Entra 授权页面写作"Microsoft Defender Suite (formerly Microsoft 365 E5 Security)"。
Microsoft Purview Suite 是对应的合规套件，在服务说明里与 Defender Suite 并列出现。
E3 包含 Defender for Office 365 Plan 1：微软的 Defender for Office 365 服务说明写明，自 2026 年 7 月 1 日起，Office 365 E3 和 Microsoft 365 E3 包含 Plan 1，但不含 Plan 2。较早的页面和文章（包括部分微软授权表）可能仍显示 E3 不含此项。
Enterprise Mobility + Security（EMS）E3 和 E5 仍列在微软 Entra、Defender 和 Purview 的授权页面里。详见下面的 EMS 部分。
Microsoft 365 E7 出现在微软 Entra 和 Intune 的授权页面里，是 E5 之上的新套件。本文不涉及。
Microsoft 365 E3 可以加购 Defender Suite、Purview Suite 等附加包，所以"E3 加附加包"是可行的替代方案。

Microsoft 365 E3：包含什么

身份：Microsoft Entra ID P1。包括条件访问（Conditional Access）、MFA 报告、欺诈警报、可信 IP、带写回的自助密码重置、自定义角色。
邮件防护：所有云邮箱的内置防护（反垃圾邮件、反恶意软件、针对欺骗的反钓鱼），以及自 2026 年 7 月 1 日起的 Defender for Office 365 Plan 1：Safe Links、Safe Attachments、带冒充保护的反钓鱼、Real-time detections。不含 Plan 2。
终端：Microsoft Defender for Endpoint Plan 1（新一代反恶意软件、攻击面减少规则、设备控制、防火墙、网络保护）。
设备管理：Microsoft Intune，随套餐附带。
数据保护：Purview 邮件加密、Exchange / SharePoint / OneDrive 的数据防泄漏（DLP）、手动敏感度标记、扫描器发现。
审核与搜索：Audit (Standard) 和 eDiscovery (Standard)。

Microsoft 365 E5：在 E3 之上增加什么

身份：Microsoft Entra ID P2。增加基于风险的条件访问、Entra ID Protection（风险策略、风险用户和风险登录）、Privileged Identity Management。
邮件防护：Defender for Office 365 Plan 2，在 Plan 1 之上增加 Threat Explorer、Threat trackers、攻击活动视图、自动调查与响应、攻击模拟训练。
终端：Defender for Endpoint Plan 2（终端检测与响应、自动调查、漏洞管理核心功能、威胁分析）。
身份威胁检测：Defender for Identity。
云应用：Defender for Cloud Apps，含应用治理。
数据保护：终端 DLP、客户端和服务端自动敏感度标记、Customer Lockbox。
合规：Audit (Premium)（审核日志最长保留一年）、Insider Risk Management、Communication Compliance、eDiscovery (Premium)。

Enterprise Mobility + Security（EMS）：它是什么

微软的"Product names and service plan identifiers for licensing"参考表（Microsoft Learn 上有链接）列出了每个 EMS 产品的组成：

EMS E3：Microsoft Entra ID P1、Microsoft Intune、Azure Information Protection Premium P1、Azure Rights Management、Azure 多重身份验证、Cloud App Security 发现。
EMS E5：包含 E3 的全部内容，另加 Microsoft Entra ID P2、Microsoft Defender for Identity、Microsoft Defender for Cloud Apps 和 Azure Information Protection Premium P2。

在身份和设备这一层，EMS 是 Microsoft 365 E3 和 E5 已有内容的子集。如果你有 Microsoft 365 E3 或 E5，就不必再买 EMS。EMS 适合把组件分开购买的公司，例如 Office 365 加 EMS。微软也把"Microsoft 365 E3 加 Enterprise Mobility + Security E5 附加包"列为有效组合。

Office 365 E3、E5 与 Microsoft 365 E3、E5 不同

Office 365 套餐涵盖 Office 应用和在线服务，不含 Windows 和设备这一层。按微软的服务说明：

自 2026 年 7 月 1 日起，Office 365 E3 和 Microsoft 365 E3 包含 Defender for Office 365 Plan 1。Plan 2 包含在 Office 365 E5 和 Microsoft 365 E5，不在 E3。
Defender for Endpoint Plan 1 列在 Microsoft 365 E3 之下，不在 Office 365 E3。
Entra ID P1 列在 Microsoft 365 E3 之下，Entra ID P2 列在 Microsoft 365 E5 之下。

已包含但常常没打开

"包含"只代表有授权，不代表已配置。请按这个顺序检查：

条件访问策略（E3 及以上）。Entra ID P1 给你这项功能，但没有建策略就什么都不会发生。见条件访问基础策略。
基于风险的条件访问和 ID Protection（E5）。风险策略需要 Entra ID P2。
Privileged Identity Management（E5）。有符合条件或限时角色分配的用户需要 P2 授权。
Defender for Office 365 策略（E3 自 2026 年 7 月 1 日起为 Plan 1，Business Premium 也是 Plan 1，E5 为 Plan 2）。服务在租户级别默认开启，但覆盖哪些用户要靠分配策略来决定。先从 Standard 预设策略开始。
Defender for Endpoint（E3 为 Plan 1，E5 为 Plan 2）。打开 Defender 门户，确认设备已经出现。
邮件加密和 DLP（E3 及以上）。要建邮件流规则或策略，否则不会自动加密。
敏感度标记（E3 为手动标记，E5 为自动标记）。标签要发布，用户才看得到。
Audit (Premium)（E5）。保留期适用于拥有对应授权的用户。
Intune 注册（E3 及以上）。设备注册后才算被管理。

怎么查看自己拥有什么

用 Microsoft Graph PowerShell 列出租户里的授权、已购数量和已使用数量：

Connect-MgGraph -Scopes Organization.Read.All
Get-MgSubscribedSku | Format-Table SkuPartNumber, ConsumedUnits,
    @{Name='Purchased'; Expression={$_.PrepaidUnits.Enabled}}

列出每个授权里的服务计划，可以看到 Defender、Entra 等功能：

$allSKUs = Get-MgSubscribedSku -Property SkuPartNumber, ServicePlans
$allSKUs | ForEach-Object {
    Write-Host "Licence:" $_.SkuPartNumber
    $_.ServicePlans | ForEach-Object {$_}
}

常见错误

买了 E5，却没打算去配置。 如果没人去部署 Defender for Identity、内部风险管理或风险策略，多出来的授权只增加成本，防护提升有限。
以为 Office 365 E3 等于 Microsoft 365 E3。 Defender for Endpoint Plan 1 和 Entra ID P1 的功能属于 Microsoft 365 E3，不属于 Office 365 E3。
在 Microsoft 365 E3 或 E5 之上又买 EMS。 续约前先检查是否重叠。
只给部分用户授权。 凡是访问受 Defender for Office 365 保护邮箱的用户都需要授权，共享邮箱也一样。PIM 之类的 Entra ID P2 功能，相关用户也要有授权。
把 Secure Score 当成已被覆盖的证明。 Secure Score 衡量的是配置情况，不是保证。见如何提高 Microsoft Secure Score。

怎么确认做到位了

用上面的命令列出授权，记下有哪些安全相关的计划。
对"已包含但常常没打开"清单里的每一项，找到配置它的门户页面，写下由谁负责。
把结果与上面的 E3、E5 清单对照。已付费但没配置的，列入整改清单。
每次续约或授权变更后重新检查。

FAQ

Microsoft 365 E3 包含哪些功能？

安全方面：Entra ID P1、Defender for Office 365 Plan 1（自 2026 年 7 月 1 日起）、Defender for Endpoint Plan 1、Intune、Purview 邮件加密、Exchange / SharePoint / OneDrive 的 DLP、手动敏感度标记、Audit (Standard) 和 eDiscovery (Standard)。

Office 365 E3 有 Defender 吗？

微软的服务说明写明，自 2026 年 7 月 1 日起，Office 365 E3 和 Microsoft 365 E3 包含 Defender for Office 365 Plan 1（Safe Links、Safe Attachments、反钓鱼、Real-time detections）。Plan 2 仅限 E5。Defender for Endpoint Plan 1 属于 Microsoft 365 E3，不属于 Office 365 E3。

Enterprise Mobility + Security E3 包含什么？

Entra ID P1、Intune、Azure Information Protection Premium P1、Azure Rights Management、Azure 多重身份验证和 Cloud App Security 发现。EMS E5 再增加 Entra ID P2、Defender for Identity、Defender for Cloud Apps 和 Azure Information Protection Premium P2。

安全方面，Microsoft 365 E3 和 Business Premium 有什么不同？

两者都包含 Entra ID P1、Defender for Office 365 Plan 1（E3 自 2026 年 7 月 1 日起）、Purview 邮件加密和 Exchange / SharePoint / OneDrive 的 DLP。Business Premium 另含 Defender for Business；Microsoft 365 E3 含 Defender for Endpoint Plan 1。

小公司值得上 E5 吗？

取决于你是否会用到多出来的工具。E5 增加身份风险检测、Defender for Office 365 Plan 2、Defender for Endpoint Plan 2 和合规工具。成本更低的一步是 E3 加 Defender Suite 或 Purview Suite 附加包，微软允许这样组合。

想请人帮你理清已有哪些授权、哪些已启用，可以看我们的 Microsoft 365 安全审计。

如果想在动手前先了解完整审计的价格，Microsoft 365 安全审计要花多少钱一文列出了按人数分档的固定价格。