Planera för fjärrassistans med Microsoft Intune

I den här artikeln kallas användare som ger hjälp för dem som hjälper till, och användare som får hjälp kallas delare, eftersom de delar sin session med den som hjälper till. Både de som hjälper och de som delar loggar in i din organisation för att kunna använda appen. Det är via ditt Microsoft Entra ID som rätt förtroenden upprättas för sessioner med fjärrassistans.

Fjärrassistans använder Intune rollbaserade åtkomstkontroller (RBAC) för att ange åtkomstnivån en hjälpare tillåts. Med RBAC kan du avgöra vilka användare som kan ge hjälp och vilken hjälpnivå de kan ge.

Checklista för planering

Följ den här checklistan för att effektivisera planeringsprocessen.

• Stöd för plattformar och enheter
• Språkstöd
• Konfiguration av klientorganisation
• Villkorlig åtkomst
• Rollbaserad åtkomstkontroll (RBAC)
• Nätverksöverväganden
• Förhandskrav
• Begränsningar
• Kända problem
• Registrerade eller oregistrerade enheter

Att tänka på vid planeringen

Använd dessa överväganden för att förbereda din organisation för fjärrassistans.

• Tillämpa minsta behörighet: Bevilja endast de minsta behörigheter för fjärrassistans som behövs för varje supportroll. Använd anpassade Intune roller om det behövs för att begränsa vem som kan ta full kontroll eller utföra obevakade sessioner. Till exempel kan nivå 1-support få skrivskyddade rättigheter, medan nivå 2 får fullständig kontrollbehörighet. Den här principen hjälper till att skydda användarnas integritet och enhetsintegritet.

• Begränsa den oövervakade kontrollen: Med oövervakad kontroll kan en hjälpare felsöka till en enhet utan att någon slutanvändare är närvarande. Skapa en dedikerad anpassad Intune roll som omfattar Windows obevakad kontroll, fjärrinloggning och obevakade Android-kontrollbehörigheter och tilldela den endast till auktoriserad supportpersonal, till exempel supportpersonal på nivå 3 eller högre administratörer. Begränsa rollen till endast de enhetsgrupper som kräver obevakad support.

• Använd villkorlig åtkomst för hjälpare: Eftersom hjälpare har förhöjd åtkomst till användarenheter lägger du till ett extra säkerhetslager. Vi rekommenderar starkt att du kräver MFA eller kompatibel enhetsstatus för hjälpkonton via villkorsstyrd åtkomst. Dessa åtgärder hjälper till att förhindra att ett komprometterat hjälpkonto används för att komma åt enheter. Microsoft Entra villkorsstyrda åtkomstprinciper för fjärrassistans stöds endast i Windows och macOS.

• Aktivera endast stöd för oregistrerade enheter om det behövs: Att tillåta fjärrassistans på oregistrerade enheter (endast Microsoft Entra registrerat) är praktiskt för att stödja personliga enheter, men det levereras med minskad tillsyn, till exempel ingen information om enhetsefterlevnad eller begränsade granskningsdata. Aktivera den här funktionen noggrant och överväg att begränsa vilken supportpersonal som kan hjälpa oregistrerade enheter med hjälp av separata roller.

• Nätverk och brandvägg: Kontrollera att företagets nätverksprinciper inte stör fjärrassistansen. Appen kommunicerar via port 443 till Azure molnslutpunkter. Om användarna finns i ett företagsnätverk kontrollerar du att proxy- eller SSL-kontrollen inte bryter anslutningen. Om proxyservrarna använder SSL-inspektion bör de domäner som listas för fjärrassistans undantas för att undvika problem. Mer information finns i Nätverksslutpunkter för fjärrassistans.

• Stöd för Government Cloud är reducerat: Fjärrassistans stöds i GCC-miljöer (Government Community Cloud) utom i Azure Virtual Desktop (AVD). Fjärrassistans stöds inte på GCC High- eller DoD-klienter (amerikanska försvarsdepartementet). Mer information finns i Microsoft Intune för amerikanska myndigheter GCC hög och DoD-tjänstbeskrivning.

• Fjärrassistans delare, hjälper och enheter måste finnas i samma klientorganisation: Fjärrassistans integrering med efterlevnadsprinciper och rollbaserad åtkomstkontroll (RBAC) kräver att alla deltagare finns i samma klientorganisation.

  Obs!

  Detta kan påverka outsourcade supportscenarier där supportadministratörer arbetar mellan olika klientorganisationer. Tänk dig ett scenario där användarens enhet (de som delar) tillhör klient A, men hjälparens enhet tillhör klient B (om de använder en enhet som utfärdats av deras outsourcingorganisation). Som en lösning kan du tillhandahålla enheter som är anslutna till klient A till supportavdelningen, eller överväga att ge dem åtkomst till Windows 365 eller AVD-enheter som är anslutna till klient A.

• Kombinera med slutpunktsanalys: Använd data från Fjärrassistans sessioner för att identifiera vanliga problem. Om många sessioner till exempel visar efterlevnadsvarningar bör du överväga att förbättra dina principer för enhetsefterlevnad. Fjärrassistans granskningsloggar i kombination med Intune Endpoint Analytics kan ge insikter om supporttrender, till exempel ofta problematiska appar eller principer.

• Håll apparna för fjärrassistans uppdaterade: Nya versioner av Windows och macOS medför förbättringar och nödvändiga korrigeringar. Microsoft kan kräva uppgraderingar för äldre versioner. Använd automatiska uppdateringar på båda plattformarna eller distribuera det senaste paketet regelbundet via Intune efter testningen. För Android är uppdateringar tillgängliga via Google Play. Övervaka enheter under regelbundna underhållsperioder för att säkerställa att de får den senaste versionen.

• Planera för sekretess och efterlevnad: Fjärrassistans kan ge upphov till sekretessproblem. För att hantera dessa problem kommunicerar du att fjärrassistans kräver användarens medgivande för deltagande sessioner. För obevakad åtkomst på Windows- och Android-enheter kan användarna inte se de åtgärder som utförs av supportpersonalen, men de meddelas när en obevakad session är aktiv. Alla sessioner med fjärrassistans indikeras tydligt för användarna och inga sessionsinspelningar lagras av tjänsten. Överväg att dokumentera dessa beteenden i organisationens IT-principer och användarvägledning. Eftersom obevakad åtkomst ger stöd utan att en aktiv användare är närvarande, bör du bara använda det för lämpliga administrativa scenarier och supportscenarier.

• Distribution i faser: Distribuera om möjligt fjärrassistans i en pilotfas. Börja med IT-avdelningen eller en liten avdelning för att lösa eventuella problem. Samla in feedback från både de som hjälper till och användare. När du känner dig säker expanderar du till hela organisationen. Med hjälp av en stegvis metod undviker du att supportavdelningen överbelastas med oväntade tekniska problem.

Hjälp- och klientlägen

Fjärrassistans klienter har stöd för olika lägen beroende på kombinationen av hjälpappen och delningsappen. Windows, macOS och Android har appar för fjärrassistans som förbättrar funktionaliteten och som kan installeras. Appar för fjärrassistans kallas ibland för inbyggda appar. Fjärrassistans har också stöd för delning från enheter med begränsade funktioner från en webbapp.

De här är de olika lägena:

• Deltagare: Supportsession där en slutanvändare deltar och beviljar åtkomst till den som hjälper dig. Bevakade sessioner har stöd för skrivskyddad åtkomst, fullständig behörighet och valfri UAC-behörighet.

  Endast visning: Begär vy av fjärrskärmen. För att minimera påverkan på slutanvändarens integritet rekommenderar vi det här alternativet om inte fullständig kontroll behövs.

  Begär fullständig kontroll: Begär fullständig kontroll över fjärrenheten.

  Utökade rättigheter: Gör det möjligt för hjälpare att ange UAC-autentiseringsuppgifter (User Account Control) när de uppmanas att göra det på den som delar. Om du aktiverar behörighetstillägg kan den som hjälper visa och styra den som delar enheten när den som delar ger den som hjälper åtkomst.

• Obevakad: En supportsession som gör att auktoriserade hjälpare kan komma åt och styra en Intune-hanterad enhet utan en aktiv deltagare i sessionen. Den här funktionen stöds på Windows- och Android-enheter.

I den här tabellen visas läget som stöds av hjälpappen och delningsappen.

Information om hur du distribuerar appar för fjärrassistans finns i Distribuera fjärrhjälp.

Autentisering och behörigheter

Både de som hjälper och de som delar loggar in i organisationen med hjälp av Microsoft Entra ID, vilket säkerställer att rätt förtroenden upprättas för de Fjärrassistans sessionerna.

Fjärrassistans använder Intune rollbaserade åtkomstkontroller (RBAC) för att ange åtkomstnivån en hjälpare tillåts. Med RBAC kan innehavaradministratörer avgöra vilka användare som kan ge hjälp och vilken hjälpnivå de kan ge.

Rollbaserad åtkomstkontroll (RBAC)

Om du vill använda fjärrassistans måste hjälpare ha rätt RBAC-behörigheter (rollbaserad åtkomstkontroll) tilldelade sina användarkonton. I följande tabell visas de tillgängliga behörigheterna för fjärrassistans och deras beskrivningar.

Följande inbyggda roller i Intune omfattar behörigheter för fjärrassistans:

• Supportoperatör (Visa skärmen, ta full kontroll, utökade privilegier, obevakad Android-kontroll, Fjärruppgifter – Erbjud fjärrhjälp, Fjärrhjälpsanslutning – Läsa)
• Skoladministratör (Visa skärm, ta full kontroll, utökade privilegier, fjärruppgifter – Erbjud fjärrhjälp, Fjärrhjälpsanslutning – Läsa)

Förhandskrav

Fjärrassistans har följande krav:

• En licens för fjärrassistans för alla som är avsedda att använda tjänsten – både hjälpare (IT-supportarbetare) och delare (användare).
• En plattform eller enhet som stöds.
• Intune-registrerade enheter måste registreras med Microsoft Entra.

Den här funktionen kräver en prenumeration utöver Microsoft Intune abonnemang 1 eller Plan 2. Licensalternativ finns i Microsoft Intune abonnemang och priser och Microsoft 365 Security Enterprise-abonnemang.

Begränsningar

Fjärrassistans har följande begränsningar:

• Du kan inte upprätta en fjärrassistans från en klientorganisation till en annan klientorganisation.
• Fjärrassistans kanske inte är tillgängligt på alla marknader eller platser.
• Fjärrassistans stöds i GCC-miljöer (Government Community Cloud) på följande plattformar:
  • Windows
  • Windows på ARM64-enheter
  • Windows 365
  • Samsung- och Zebra-enheter som registrerats som dedikerade Android Enterprise-enheter
  • macOS 13, 14 och 15
• Fjärrassistans stöds inte på GCC High- eller DoD-klienter (amerikanska försvarsdepartementet). Mer information finns i Microsoft Intune för amerikanska myndigheter GCC hög och DoD-tjänstbeskrivning.

Plattformar som stöds

Varje plattform har specifika krav och funktioner.

Nätverksöverväganden

Både den som hjälper och delar måste kunna nå specifika slutpunkter via port 443. Mer information finns i Nätverksslutpunkter för fjärrassistans.

Fjärrassistans kommunicerar via port 443 (https) och ansluter till fjärrhjälpstjänsten https://remotehelp.microsoft.com via Fjärrskrivbord Protocol (RDP). Trafiken är krypterad med TLS 1.2.

Krav och förutsättningar

Språk som stöds för chatt

Fjärrassistans med chatt på stöds på följande språk:

Data och sekretess

Microsoft loggar en liten mängd sessionsdata för att övervaka hälsotillståndet för systemet för fjärrassistans. Dessa data inkluderar följande information:

• Start- och sluttid för sessionen. Den här informationen lagras på Microsofts servrar i 30 dagar.
• Vem som hjälpte vem och på vilken enhet. Den här informationen lagras på Microsofts servrar i 30 dagar.
• Fel som uppstår från själva fjärrassistansen, till exempel oväntade frånkopplingar. Den här informationen lagras på den som delar enheten i Loggboken.
• Funktioner som används i appen, till exempel endast visning och utökade rättigheter. Den här informationen lagras på Microsofts servrar i 30 dagar.

Fjärrassistans loggar sessionsinformation till Windows-händelseloggarna på enheten för både hjälparen och delaren. Microsoft kan inte komma åt en session eller visa några åtgärder eller tangenttryckningar som görs i sessionen.

Den som hjälper och delar ser följande information om den andra personen, hämtad från deras organisationsprofiler:

• Profilbild för organisationen (om sådan finns)
• Företagets namn
• Domän verifierad
• För- och efternamn
• Befattning

Microsoft lagrar inga data om den som delar eller den som hjälper till längre än 30 dagar.

Nästa steg