Pianificazione dell'Assistenza remota con Microsoft Microsoft Intune

In questo articolo, gli utenti che forniscono assistenza vengono definiti helper e gli utenti che ricevono assistenza vengono definiti condivisori, in quanto condividono la sessione con l'helper. Sia gli helper che i condivisori accedono all'organizzazione per usare l'app. È tramite il tuo Microsoft Entra ID che vengono stabiliti i trust appropriati per le sessioni di Assistenza remota.

Assistenza remota usa i controlli di accesso in base ai ruoli di Intune per impostare il livello di accesso consentito a un helper. Tramite il controllo degli accessi in base al ruolo, è possibile determinare quali utenti possono fornire assistenza e il livello di assistenza che possono fornire.

Elenco di controllo della pianificazione

Seguire questo elenco di controllo per semplificare il processo di pianificazione.

• Supporto per piattaforme e dispositivi
• Supporto lingue
• Configurazione del tenant
• Accesso condizionale
• Controllo degli accessi in base al ruolo (RBAC)
• Considerazioni sulla rete
• Prerequisiti
• Limitazioni
• Problemi noti
• Dispositivi registrati o annullati

Considerazioni sulla pianificazione

Usare queste considerazioni per preparare l'organizzazione per l'Assistenza remota.

• Applica privilegi minimi: concedi solo le autorizzazioni minime di Assistenza remota necessarie per ogni ruolo di supporto. Se necessario, usare ruoli di Intune personalizzati per limitare chi può assumere il controllo completo o eseguire sessioni non presidiate. Ad esempio, il supporto di livello 1 potrebbe ottenere diritti di sola visualizzazione, mentre il livello 2 ottiene diritti di controllo completo. Questo principio consente di proteggere la privacy degli utenti e l'integrità del dispositivo.

• Ambito ristretto del controllo automatico: il controllo automatico consente a un helper di risolvere i problemi in un dispositivo senza che sia presente un utente finale. Crea un ruolo di Intune personalizzato dedicato che includa le autorizzazioni di accesso remoto per il controllo automatico di Windows e le autorizzazioni di controllo automatico di Android e assegnalo solo al personale di supporto autorizzato, ad esempio il personale dell'helpdesk di livello 3 o gli amministratori senior. Limitare il ruolo solo ai gruppi di dispositivi che richiedono il supporto automatico.

• Usa l'accesso condizionale per gli helper: Poiché gli helper hanno accesso elevato ai dispositivi degli utenti, è possibile aggiungere un ulteriore livello di sicurezza. Richiedere l'autenticazione a più fattori o lo stato di dispositivo conforme per gli account Helper tramite l'accesso condizionale è fortemente consigliato. Queste misure consentono di impedire che un account Helper compromesso venga usato per accedere ai dispositivi. Microsoft Entra I criteri di Accesso condizionale per l'Assistenza remota sono supportati solo in Windows e macOS.

• Abilita il supporto per i dispositivi registrati solo se necessario: Consentire l'Assistenza remota nei dispositivi non registrati (solo registrazione di Microsoft Entra) è conveniente per supportare i dispositivi personali, ma comporta una supervisione ridotta, ad esempio nessuna informazione sulla conformità dei dispositivi o dati di controllo limitati. Abilita questa funzionalità in modo ponderato e valuta la possibilità di limitare il personale di supporto che può aiutare i dispositivi che annullano la registrazione usando ruoli separati.

• Rete e firewall: verificare che i criteri di rete aziendali non interferiscano con l'Assistenza remota. L'app comunica tramite la porta 443 agli endpoint del cloud di Azure. Se gli utenti si trovano in una rete aziendale, verificare che l'ispezione proxy o SSL non interrompa la connessione. Se i server proxy usano l'ispezione SSL, i domini elencati per Assistenza remota devono essere esclusi per evitare problemi. Per altre informazioni, vedere Endpoint di rete per Assistenza remota.

• Il supporto per Government Cloud è ridotto: la Assistenza remota è supportata in ambienti Government Community Cloud (GCC), ad eccezione di Azure Desktop virtuale (AVD). L'assistenza remota non è supportata nei tenant GCC High o DoD (Dipartimento della Difesa degli Stati Uniti). Per ulteriori informazioni, vedere Microsoft Intune per il governo degli Stati Uniti GCC High e descrizione del servizio DoD.

• I condivisori, gli helper e i dispositivi di Assistenza remota devono trovarsi nello stesso tenant: L'integrazione di Assistenza remota con i criteri di conformità e il controllo degli accessi in base ai ruoli richiede che tutti i partecipanti si trovino nello stesso tenant.

  Nota

  Questo può influire sugli scenari di helpdesk in outsourcing in cui gli amministratori dell'helpdesk lavorano tra tenant. Si consideri uno scenario in cui il dispositivo dell'utente (condivisori) appartiene al tenant A, ma il dispositivo dell'helper appartiene al tenant B (nel caso in cui usi un dispositivo rilasciato dall'organizzazione di outsourcing). Come soluzione alternativa, è consigliabile fornire al supporto tecnico i dispositivi aggiunti al tenant A oppure concedere loro l'accesso ai dispositivi Windows 365 o AVD aggiunti al tenant A.

• Combina con Analisi endpoint: utilizza i dati delle sessioni di Assistenza remota per identificare i problemi comuni. Ad esempio, se molte sessioni mostrano avvisi di conformità, valuta la possibilità di migliorare i criteri di conformità dei dispositivi. I log di controllo di Assistenza remota combinati con l'analisi degli endpoint di Intune potrebbero fornire informazioni approfondite sulle tendenze di supporto, ad esempio app o criteri spesso problematici.

• Mantenere aggiornate le app di Assistenza remota: le nuove versioni di Windows e macOS apportano miglioramenti e correzioni necessarie. Microsoft potrebbe imporre aggiornamenti per le versioni precedenti. Usare gli aggiornamenti automatici in entrambe le piattaforme o distribuire regolarmente il pacchetto più recente tramite Intune dopo il test. Per Android, gli aggiornamenti sono disponibili tramite Google Play. Monitorare i dispositivi durante le normali finestre di manutenzione per assicurarsi che ricevano la versione più recente.

• Pianificare privacy e conformità: l'assistenza remota può sollevare problemi di privacy. Per risolvere questi problemi, comunicare che Assistenza remota richiede il consenso dell'utente per le sessioni a cui si è assistito. Per l'accesso non presidiato nei dispositivi Windows e Android, gli utenti non possono osservare le azioni eseguite dal personale di supporto, ma ricevono una notifica quando è attiva una sessione automatica. Tutte le sessioni di Assistenza remota sono chiaramente indicate agli utenti e nessuna registrazione della sessione viene archiviata dal servizio. È consigliabile documentare questi comportamenti nei criteri IT dell'organizzazione e nelle linee guida per gli utenti. Poiché l'accesso automatico consente il supporto senza la presenza di un utente attivo, usarlo solo per scenari amministrativi e di supporto appropriati.

• Implementazione in fasi: se possibile, distribuire l'Assistenza remota in una fase pilota. Inizia con l'IT o con un piccolo reparto per risolvere eventuali problemi. Raccogliere feedback sia dagli aiutanti che dagli utenti. Una volta che sei sicuro, espanditi a tutta l'organizzazione. Un approccio graduale può evitare di sovraccaricare l'helpdesk con problemi tecnici imprevisti.

Modalità Helper e Client

I client di assistenza remota supportano modalità diverse in base alla combinazione dell'app Helper e dell'app sharer. Windows, macOS e Android dispongono di app di assistenza remota che possono essere installate per migliorare le funzionalità. Le app di Assistenza remota sono a volte indicate come app native. Assistenza remota supporta anche la condivisione da dispositivi con funzionalità ridotte da un'app Web.

Queste sono le diverse modalità:

• Con operatore: sessione di supporto a cui un utente finale partecipa e concede l'accesso all'helper. Le sessioni presidiate supportano l'accesso di sola visualizzazione, il controllo completo e l'elevazione opzionale di Controllo dell'account utente.

  Solo visualizzazione: richiedere la visualizzazione della schermata remota. Per ridurre al minimo l'effetto sulla privacy dell'utente finale, questa opzione è consigliata a meno che non sia necessario un controllo completo.

  Richiedi il controllo completo: richiedi il controllo completo del dispositivo remoto.

  Elevazione: consente agli helper di immettere le credenziali di controllo dell'account utente quando richiesto nel dispositivo del condivisore. L'abilitazione dell'elevazione consente inoltre all'Helper di visualizzare e controllare il dispositivo del relatore quando quest'ultimo concede l'accesso all'helper.

• Non presidiata: sessione di supporto che consente agli helper autorizzati di accedere e controllare un dispositivo gestito da Intune senza un partecipante attivo alla sessione. Questa funzionalità è supportata nei dispositivi Windows e Android.

Questa tabella mostra il supporto della modalità da parte dell'app Helper e dell'app sharer.

Per informazioni sulla distribuzione delle app di Assistenza remota, vedere Distribuire Assistenza remota.

Autenticazione e autorizzazioni

Sia gli helper che i condivisori accedono all'organizzazione usando Microsoft Entra ID, che garantisce che vengano stabiliti attendibilità appropriati per le sessioni di Assistenza remota.

Assistenza remota usa i controlli di accesso in base ai ruoli di Intune per impostare il livello di accesso consentito a un helper. Tramite il controllo degli accessi in base al ruolo, gli amministratori del tenant determinano quali utenti possono fornire assistenza e il livello di assistenza che possono fornire.

Controllo di accesso in base ai ruoli

Per utilizzare la Assistenza remota, gli helper devono disporre delle autorizzazioni di controllo degli accessi in base al ruolo appropriate assegnate al proprio account utente. Nella tabella seguente sono elencate le autorizzazioni disponibili per Assistenza remota e le relative descrizioni.

I ruoli predefiniti di Intune seguenti includono le autorizzazioni di Assistenza remota:

• Operatore help desk (Visualizza schermata, prendi il controllo completo, elevazione, Controllo automatico Android, Attività remote - Offri assistenza remota, Connettore assistenza remota - Lettura)
• Amministratore dell'istituto di istruzione (Visualizza schermata, Assumi il controllo completo, elevazione, Attività remote - Offri assistenza remota, Connettore assistenza remota - Lettura)

Prerequisiti

L'assistenza remota prevede i requisiti seguenti:

• Una licenza di Assistenza remota per tutti gli utenti interessati a usare il servizio, sia gli helper (operatori del supporto IT) che i condivisori (utenti).
• Una piattaforma o un dispositivo supportato.
• I dispositivi registrati su Intune devono essere registrati con Microsoft Entra.

Questa funzionalità richiede un abbonamento in aggiunta a Microsoft Intune (piano 1) o Piano 2. Per le opzioni di licenza, vedere Piani e prezzi di Microsoft Intune e Piani Microsoft 365 Security Enterprise.

Limitazioni

L'assistenza remota presenta le limitazioni seguenti:

• Non è possibile stabilire una sessione di Assistenza remota da un tenant a un tenant diverso.
• L'assistenza remota potrebbe non essere disponibile in tutti i mercati o in tutte le localizzazioni.
• L'assistenza remota è supportata negli ambienti Government Community Cloud (GCC) sulle piattaforme seguenti:
  • Windows
  • Windows nei dispositivi ARM64
  • Windows 365
  • Dispositivi Samsung e Zebra registrati come dispositivi dedicati Android Enterprise
  • macOS 13, 14 e 15
• L'assistenza remota non è supportata nei tenant GCC High o DoD (Dipartimento della Difesa degli Stati Uniti). Per ulteriori informazioni, vedere Microsoft Intune per il governo degli Stati Uniti GCC High e descrizione del servizio DoD.

Piattaforme supportate

Ogni piattaforma ha prerequisiti e funzionalità specifici.

Considerazioni sulla rete

Sia l'helper che il condivisore devono essere in grado di raggiungere endpoint specifici sulla porta 443. Per altre informazioni, vedere Endpoint di rete per Assistenza remota.

Assistenza remota comunica tramite la porta 443 (https) e si connette al servizio di assistenza remota all'indirizzo https://remotehelp.microsoft.com tramite Desktop remoto Protocol (RDP). Il traffico è crittografato con TLS 1.2.

Requisiti e prerequisiti

Lingue supportate per la chat

L'assistenza remota con chat attiva è supportata nelle lingue seguenti:

Dati e privacy

Microsoft registra una piccola quantità di dati di sessione per monitorare l'integrità del sistema di assistenza remota. Questi dati includono le informazioni seguenti:

• Ora di inizio e di fine della sessione. Queste informazioni vengono archiviate nei server Microsoft per 30 giorni.
• Chi ha aiutato chi e su quale dispositivo. Queste informazioni vengono archiviate nei server Microsoft per 30 giorni.
• Errori derivanti dall'Assistenza remota stessa, ad esempio disconnessioni impreviste. Queste informazioni vengono archiviate nel Visualizzatore eventi nel dispositivo dell'utente condivisore.
• Funzionalità utilizzate all'interno dell'app, ad esempio la sola visualizzazione e l'elevazione. Queste informazioni vengono archiviate nei server Microsoft per 30 giorni.

Assistenza remota registra i dettagli della sessione nei registri eventi di Windows nel dispositivo dell'helper e del condivisore. Microsoft non può accedere a una sessione o visualizzare le azioni o le sequenze di tasti che si verificano nella sessione.

L'helper e il condivisore vedono le informazioni seguenti sull'altro individuo, tratte dai relativi profili organizzativi:

• Immagine del profilo dell'organizzazione (se presente)
• Nome dell'azienda
• Dominio verificato
• Nome e cognome
• Titolo professionale

Microsoft non archivia i dati relativi al condivisore o all'helper per più di 30 giorni.

Operazioni successive