Plánování Pomoc na dálku s Microsoft Intune

V tomto článku se uživatelé, kteří poskytují pomoc, označují jako pomáhající a uživatelé, kteří přijímají pomoc, se označují jako sdílející, protože sdílejí svou relaci s pomocníkem. Abyste mohli aplikaci používat, přihlašují se k vaší organizaci pomáhající i sdílející osoby. Prostřednictvím vašeho Microsoft Entra ID se vytvoří správné vztahy důvěryhodnosti pro relace Pomoc na dálku.

Pomoc na dálku používá Intune řízení přístupu na základě role (RBAC) k nastavení úrovně přístupu, kterou má pomocník povolený. Prostřednictvím RBAC určíte, kteří uživatelé můžou poskytnout pomoc a úroveň nápovědy, kterou můžou poskytnout.

Tip

Pokud chcete přizpůsobené prostředí založené na vašem prostředí, můžete si prohlédnout průvodce doplňky sady Intune v Centru pro správu Microsoftu 365.

Kontrolní seznam pro plánování

Pomocí tohoto kontrolního seznamu si můžete zjednodušit proces plánování.

  • Podpora platforem a zařízení
  • Jazyková podpora
  • Konfigurace tenanta
  • Podmíněný přístup
  • Řízení přístupu na základě role (RBAC)
  • Důležité informace z hlediska využívání sítě
  • Požadavky
  • Omezení
  • Známé problémy
  • Zaregistrovaná a nezaregistrovaná zařízení

Důležité informace při plánování

Pomocí těchto aspektů připravte organizaci na Pomoc na dálku.

  • Vynuťte nejnižší oprávnění: Pro každou roli podpory udělte jenom minimální Pomoc na dálku oprávnění. V případě potřeby použijte vlastní role Intune k omezení toho, kdo může převzít úplné řízení nebo provádět bezobslužné relace. Například podpora úrovně 1 může získat práva pouze pro zobrazení, zatímco úroveň 2 může získat práva úplného řízení. Tento princip pomáhá chránit soukromí uživatelů a integritu zařízení.

  • Rozsah bezobslužného ovládání úzce: Bezobslužné ovládání umožňuje pomocníkovi řešit potíže se zařízením bez přítomnosti koncového uživatele. Vytvořte vyhrazenou vlastní roli Intune, která zahrnuje oprávnění ke vzdálenému bezobslužnému ovládání Windows a oprávnění k bezobslužnému řízení Androidu, a přiřaďte ji pouze autorizovanému personálu podpory, jako jsou pracovníci helpdesku úrovně 3 nebo vedoucí správci. Nastavte rozsah role jenom na skupiny zařízení, které vyžadují bezobslužnou podporu.

  • Použití podmíněného přístupu pro pomocníky: Vzhledem k tomu, že pomocníci mají zvýšený přístup k uživatelským zařízením, přidejte další vrstvu zabezpečení. Důrazně se doporučuje vyžadovat stav vícefaktorového ověřování nebo kompatibilního zařízení pro pomocné účty prostřednictvím podmíněného přístupu. Tato opatření pomáhají zabránit zneužití ohroženého pomocného účtu pro přístup k zařízením. Microsoft Entra Zásady podmíněného přístupu pro Pomoc na dálku jsou podporované jenom v systémech Windows a macOS.

  • Podporu neregistrovaných zařízení povolte pouze v případě potřeby: Povolení Pomoci na dálku na neregistrovaných zařízeních (pouze registrovaná služba Microsoft Entra) je vhodné pro podporu osobních zařízení, ale přichází s omezeným dohledem, například bez informací o dodržování předpisů zařízení nebo omezených dat auditu. Tuto funkci povolte s rozmyslem a zvažte omezení pracovníků podpory, kteří můžou pomáhat neregistrovaným zařízením pomocí samostatných rolí.

  • Síť a brána firewall: Ověřte, jestli firemní zásady sítě nenarušují službu Pomoc na dálku. Aplikace komunikuje přes port 443 s cloudovými koncovými body služby Azure. Pokud jsou vaši uživatelé v podnikové síti, zkontrolujte, jestli kontrola proxy serveru nebo SSL nepřerušila připojení. Pokud vaše proxy servery používají kontrolu SSL, měly by být domény uvedené pro Pomoc na dálku vyloučeny, aby nedocházelo k problémům. Další informace najdete v tématu Koncové body sítě pro vzdálenou Pomoc na dálku.

  • Podpora pro Government Cloud je omezená: Pomoc na dálku se podporuje v prostředích GCC (Government Community Cloud) s výjimkou služby Azure Virtual Desktop (AVD). Pomoc na dálku není podporovaná na tenantech GCC High nebo DoD (U.S. Department of Defense). Další informace najdete v tématu Popis služby Microsoft Intune pro státní správu USA GCC High a DoD.

  • Pomoc na dálku Sdílející, pomáhající a zařízení musí být ve stejném tenantovi: Integrace Pomoc na dálku se zásadami dodržování předpisů a řízením přístupu na základě role (RBAC) vyžaduje, aby všichni účastníci byli ve stejném tenantovi.

    Poznámka

    To může mít vliv na scénáře outsourcované technické podpory, kdy správci technické podpory pracují napříč tenanty. Představte si scénář, kdy zařízení vašeho uživatele (sdílejícího) patří do tenanta A, ale zařízení pomocníka patří do tenanta B (v případě, že používají zařízení vydané jejich outsourcingovou organizací). Jako alternativní řešení zvažte dodání zařízení připojených k vašemu tenantovi A technické podpoře nebo zvažte poskytnutí přístupu k zařízením s Windows 365 nebo AVD připojeným ke tenantovi A.

  • Kombinujte s analýzou koncových bodů: Použijte data z relací Pomoc na dálku k identifikaci běžných problémů. Pokud například mnoho relací zobrazuje upozornění na dodržování předpisů, zvažte vylepšení zásad dodržování předpisů zařízením. Protokoly auditování Pomoc na dálku v kombinaci s analýzou koncového bodu služby Intune můžou poskytovat poznatky o trendech podpory, jako jsou například často problematické aplikace nebo zásady.

  • Udržujte aplikace Pomoc na dálku aktuální: Nové verze systémů Windows a macOS přinášejí vylepšení a požadované opravy. Microsoft může vynutit upgrady pro starší verze. Po otestování používejte automatické aktualizace na obou platformách nebo pravidelně nasazujte nejnovější balíček prostřednictvím služby Intune. Pro Android jsou aktualizace dostupné prostřednictvím Google Play. Monitorujte zařízení během pravidelných údržbových oken, abyste měli jistotu, že dostanou nejnovější verzi.

  • Plán pro ochranu osobních údajů a dodržování předpisů: Pomoc na dálku může vyvolat obavy o ochranu osobních údajů. Pokud chcete tyto obavy rozptýlit, sdělte jim, že Pomoc na dálku vyžaduje pro obsluhované relace souhlas uživatele. U bezobslužného přístupu na zařízeních se systémem Windows a Android uživatelé nemůžou sledovat akce prováděné pracovníky podpory, ale jsou upozorněni, když je bezobslužná relace aktivní. Všechny relace Pomoc na dálku jsou uživatelům jasně označeny a služba neukládá žádné záznamy relací. Zvažte zdokumentování tohoto chování v zásadách pro IT vaší organizace a v pokynech pro uživatele. Vzhledem k tomu, že bezobslužný přístup umožňuje podporu bez přítomnosti aktivního uživatele, používejte ho jenom pro vhodné scénáře správy a podpory.

  • Nasazení ve fázích: Pokud je to možné, nasaďte Pomoc na dálku v pilotní fázi. Začněte s IT oddělením nebo malým oddělením a vyřešte případné problémy. Shromážděte zpětnou vazbu od pomáhajících i uživatelů. Jakmile si budete jistí, rozšiřte se na celou organizaci. Postupný přístup může zabránit zahlcení helpdesku neočekávanými technickými problémy.

Pomocný a klientský režim

Klienti Pomoc na dálku podporují různé režimy na základě kombinace pomocné aplikace a sdílející aplikace. Systémy Windows, macOS a Android nabízejí aplikace Pomoc na dálku, které je možné nainstalovat a které rozšiřují funkčnost. Aplikace Pomoc na dálku se někdy označují jako nativní aplikace. Pomoc na dálku také podporuje sdílení z webových aplikací ze zařízení s omezenými možnostmi.

Jedná se o tyto odlišné režimy:

  • Attended: Relace podpory, které se koncový uživatel účastní a uděluje přístup pomocníkovi. Obsluhované relace podporují přístup pouze pro zobrazení, úplné řízení a volitelné zvýšení oprávnění nástroje Řízení uživatelských účtů.

    Pouze zobrazení: Žádost o zobrazení vzdálené obrazovky. Aby se minimalizoval dopad na ochranu osobních údajů koncových uživatelů, doporučuje se tato možnost, pokud není nutná úplná kontrola.

    Požadovat plnou kontrolu: Požadovat plnou kontrolu nad vzdáleným zařízením.

    Zvýšení oprávnění: Umožňuje pomocníkům zadat přihlašovací údaje nástroje Řízení uživatelských účtů, když se zobrazí výzva na zařízení sdílejícího. Povolení zvýšení oprávnění také umožňuje pomocníkovi zobrazit a ovládat zařízení sdílejícího, když sdílející udělí pomocníkovi přístup.

  • Bezobslužný: Relace podpory, která umožňuje autorizovaným pomocníkům přistupovat k zařízení spravovanému přes Intune a řídit ho bez aktivního účastníka relace. Tato funkce je podporovaná na zařízeních s Windows a Androidem.

Tato tabulka ukazuje podporu režimu pomocnou aplikací a sdílející aplikací.

Pomoc z:
nativní pro Windows		 Pomoc z:
Windows web		 Pomoc z:
web pro macOS
Sdílení z:
nativní pro Windows		 ✅ Jenom
✅ prohlížení Úplné ovládání
✅ Nadmořská výška		 ✅ Bezobslužný provoz Nepodporovaná funkce
Sdílení z:
nativní pro macOS		 Nepodporovaná funkce ✅ Jenom
✅ prohlížení Úplné řízení		 ✅ Jenom
✅ prohlížení Úplné řízení
Sdílení z:
nativní pro Android		 Nepodporovaná funkce ✅ Jenom
✅ prohlížení Úplné řízení
✅ Bezobslužný		 ✅ Jenom
✅ prohlížení Úplné řízení
✅ Bezobslužný
Sdílení z:
webová aplikace pro macOS		 Nepodporovaná funkce ✅ Jenom prohlížení ✅ Jenom prohlížení
Sdílení z:
Windows webapp		 Nepodporovaná funkce ✅ Jenom prohlížení ✅ Jenom prohlížení

Poznámka

U zařízení s Windows, která přijímají podporu, se obsluhované a bezobslužné relace poskytují prostřednictvím samostatných aplikací Pomoc na dálku. Na obslužné prostředí se vztahuje jenom zobrazení, úplné řízení a nadmořská výška, zatímco bezobslužné ovládání se vztahuje na bezobslužné prostředí.

Informace o nasazení aplikací Pomoc na dálku najdete v tématu Nasazení Pomoc na dálku.

Ověřování a oprávnění

Pomocníky i sdílející osoby se přihlašují k vaší organizaci pomocí Microsoft Entra ID, které zajišťuje vytvoření správných vztahů důvěryhodnosti pro relace Pomoc na dálku.

Pomoc na dálku používá Intune řízení přístupu na základě role (RBAC) k nastavení úrovně přístupu, kterou má pomocník povolený. Prostřednictvím RBAC správci tenanta určují, kteří uživatelé můžou poskytnout pomoc a úroveň pomoci, kterou mohou poskytnout.

Řízení přístupu na základě rolí (RBAC)

Aby mohli pomocníci používat Pomoc na dálku, musí mít ke svému uživatelskému účtu přiřazená příslušná oprávnění řízení přístupu na základě rolí (RBAC). V následující tabulce jsou uvedena dostupná oprávnění pro funkci Pomoc na dálku a jejich popisy.

Oprávnění Popis
Aplikace Pomoc na dálku – obrazovka Zobrazit Umožňuje osobě, která pomáhá, zobrazit obrazovku sdílejícího bez převzetí řízení.
Aplikace Pomoc na dálku – Převzetí úplného řízení Umožňuje pomocníkovi převzít úplnou kontrolu nad zařízením sdílejícího.
Aplikace Pomoc na dálku – zvýšení oprávnění Umožňuje pomocníkovi pracovat s výzvami řízení uživatelských účtů ve Windows.
Aplikace Pomoc na dálku – bezobslužné ovládání pomocí systému Android Umožňuje pomocníkovi připojit se k zařízením s Androidem, aniž by sdílející musel pokaždé připojení přijmout. Tato funkce vyžaduje, aby zařízení s Androidem bylo zaregistrované v Intune jako vyhrazené zařízení. Toto oprávnění přiřaďte explicitně a definujte jeho rozsah na konkrétní zařízení, která můžou získat bezobslužnou podporu.
Aplikace Pomoc na dálku – bezobslužné ovládání Windows vzdálené přihlášení Umožňuje pomocníkovi spustit bezobslužnou vzdálenou relaci přihlášení k cílovému, fyzickému, firemnímu zařízení s Windows, aniž by sdílející pokaždé musel připojení přijmout. Toto oprávnění přiřaďte explicitně a definujte jeho rozsah na konkrétní zařízení, která můžou získat bezobslužnou podporu.
Vzdálené úlohy – nabídka vzdálené pomoci Umožňuje pomocníkovi nabídnout vzdálenou pomoc uživatelům.
Konektor pro vzdálenou pomoc – čtení Vyžaduje se k tomu, aby uživatel mohl při zahájení relace zjistit, jestli je pro tenanta nakonfigurovaná Pomoc na dálku.

Mezi následující předdefinované role Intune patří oprávnění Pomoc na dálku:

  • Operátor helpdesku (zobrazení obrazovky, převzetí úplného řízení, nadmořská výška, bezobslužné ovládání Androidem, vzdálené úkoly – nabídka vzdálené pomoci, konektor pro vzdálenou pomoc – čtení)
  • Správce školy (Zobrazit obrazovku, Převzít úplné řízení, Zvýšení oprávnění, Vzdálené úkoly – nabídnout vzdálenou pomoc, Konektor pro vzdálenou pomoc – čtení)

Poznámka

Aby mohl člověk poskytovat pomoc, potřebuje kombinaci oprávnění Vzdálená pomoc – nabídnout vzdálenou pomoc, konektoru Vzdálená pomoc – oprávnění ke čtení a aspoň jednoho oprávnění pro Pomoc na dálku. Oprávnění se udělují uživatelům ve skupině správců přiřazení role pro uživatele nebo zařízení v definovaných skupinách rozsahu. Další informace o řízení přístupu na základě role Intune najdete v tématu Informace o řízení přístupu na základě role (RBAC) pro Microsoft Intune.

Důležité

Pokud sdílející nebo sdílející zařízení není v rozsahu pomocníka, nemůže tento pomocník poskytnout pomoc. Skupina oboru Všechna zařízení neobsahuje nezaregistrovaná zařízení. Místo toho během procesu přiřazení použijte skupinu oboru uživatelů.

Pokud vyberete skupinu, kterou chcete vyloučit z přiřazení, jako je například přiřazení zásad nebo aplikace, musí být buď vnořená do jedné ze skupin oborů přiřazení RBAC, nebo musí být samostatně uvedená jako skupina oboru v přiřazení role RBAC.

Požadavky

Pomoc na dálku má následující požadavky:

  • Licence Pomoc na dálku pro všechny, jejichž cílem je používat tuto službu – pomocníky (pracovníky IT podpory) i sdílející (uživatele).
  • Podporovaná platforma nebo zařízení.
  • Zařízení zaregistrovaná v Intune musí být zaregistrovaná u Microsoft Entra.

Tato funkce vyžaduje předplatné navíc k plánu Microsoft Intune – plán 1 nebo Plán 2. Možnosti licencování najdete v tématech Plány a ceny Microsoft Intune a Plány Microsoft 365 Security Enterprise.

Omezení

Pro Pomoc na dálku platí následující omezení:

  • Není možné vytvořit relaci Pomoc na dálku z jednoho tenanta do jiného tenanta.
  • Pomoc na dálku nemusí být dostupná na všech trzích a ve všech lokalizacích.
  • Pomoc na dálku je podporovaná v prostředích GCC (Government Community Cloud) na následujících platformách:
    • Windows
    • Windows na zařízeních ARM64
    • Windows 365
    • Zařízení Samsung a Zebra zaregistrovaná jako zařízení s Androidem Enterprise
    • macOS 13, 14 a 15
  • Pomoc na dálku není podporovaná na tenantech GCC High nebo DoD (U.S. Department of Defense). Další informace najdete v tématu Popis služby Microsoft Intune pro státní správu USA GCC High a DoD.

Podporované platformy

Každá platforma má specifické předpoklady a schopnosti.

Pro obsluhované ovládání Pomoc na dálku podporuje:

  • Windows x86, x64 a ARM64
  • Windows 365
  • Azure Virtual Desktop (relace plochy a vzdálené aplikace RemoteApp)

Pro bezobslužné ovládání platí další požadavky. Cílové zařízení musí být fyzické zařízení s Windows, které vlastní společnost a používá se systémem s operačním systémem založeným na platformě x64, spravované přes Intune a musí být připojené k hybridní službě Microsoft Entra nebo k hybridní verzi služby Microsoft Entra. Virtuální zařízení, včetně Windows 365 a Azure Virtual Desktopu, stejně jako neregistrovaná a osobní zařízení (BYOD), nejsou podporována pro bezobslužné řízení. Zařízení, která tyto požadavky nesplňují, můžou přesto získat obslužnou podporu.

Pokud chcete dostávat oznámení o Pomoc na dálku a bezobslužné žádosti o podporu, ujistěte se, že je na cílovém zařízení nainstalované rozšíření Intune Management Extension (IME). Doporučujeme také udržovat Windows a rozšíření pro správu služby Intune aktuální, abyste zajistili co nejspolehlivější prostředí. Další informace najdete v tématu Rozšíření pro správu Intune.

Nedoporučujeme vzdáleně spouštět relaci uživatelům na virtuálních plochách služby Azure Virtual Desktop. Další informace najdete v tématu Poskytování nápovědy v relacích služby Azure Virtual Desktop a RemoteApp.

Důležité informace z hlediska využívání sítě

Pomocník i sdílející musí mít přístup ke konkrétním koncovým bodům přes port 443. Další informace najdete v tématu Koncové body sítě pro vzdálenou Pomoc na dálku.

Pomoc na dálku komunikuje přes port 443 (https) a připojuje se ke službě Vzdálená pomoc na https://remotehelp.microsoft.com adrese pomocí protokolu RDP (Vzdálená plocha Protocol). Provoz je šifrovaný pomocí protokolu TLS 1.2.

Požadavky a předpoklady

Obsluhované ovládání

Pokud vaše organizace omezuje Pomoc na dálku pouze na zaregistrovaná zařízení, musí být zařízení s Windows sdílejícího zaregistrované ve stejném tenantovi, ze kterého relace Pomoc na dálku začíná.

Bezobslužné ovládání

Pomoc na dálku pro bezobslužné ovládání je podporována pouze na zaregistrovaných zařízeních. Následující požadavky platí také pro cílové zařízení:

  • Musí být nainstalovaný agent služby Azure Virtual Desktop a spouštěcí zaváděcí program agenta služby Azure Virtual Desktop. Nejprve nainstalujte agenta a pak nainstalujte bootloader. Po instalaci není nutná žádná další konfigurace. Obě můžete nasadit jako aplikace Win32. Další informace najdete v tématu Nasazení Pomoc na dálku.
  • Musí být nainstalované rozšíření Intune Management Extension. Je nutný k orchestraci bezobslužné relace.
  • Na zařízení musí být povolená Vzdálená plocha. Toto nastavení můžete povolit prostřednictvím konfiguračního profilu katalogu nastavení služby Intune.
  • Zařízení musí být zapnuté a připojené k internetu. Zařízení, která jsou v režimu spánku, hibernaci nebo vypnutá, nemůžou získat bezobslužnou podporu.
  • Pomocník musí mít přiřazeno oprávnění ke vzdálenému přihlášení k aplikaci Pomoc na dálku – bezobslužné řízení Windows vymezené na cílová zařízení.

Jazyky podporované v chatu

Pomoc na dálku se zapnutým chatem je podporovaná v následujících jazycích:

  • Arabština
  • Bulgarian
  • Čínština (zjednodušená)
  • Čínština (tradiční)
  • Croatian
  • Czech
  • Danish
  • Dutch
  • English
  • Estonian
  • Finnish
  • French
  • German
  • Greek
  • Hebrew
  • Hungarian
  • Italian
  • Japanese
  • Korean
  • Latvian
  • Lithuanian
  • Norština
  • Polish
  • Portugalština
  • Romanian
  • Russian
  • Srbština
  • Slovak
  • Slovenian
  • Spanish
  • Swedish
  • Thai
  • Turkish
  • Ukrainian

Data a ochrana osobních údajů

Společnost Microsoft zaznamenává do protokolu malé množství dat relace kvůli sledování stavu systému Pomoc na dálku. Tato data zahrnují následující informace:

  • Čas zahájení a ukončení relace. Tyto informace se ukládají na serverech společnosti Microsoft po dobu 30 dnů.
  • Kdo komu pomáhal a na jakém zařízení. Tyto informace se ukládají na serverech společnosti Microsoft po dobu 30 dnů.
  • Chyby způsobené samotnou funkcí Pomoc na dálku, například neočekávaná odpojení. Tyto informace se uloží v zařízení sdílejícího v prohlížeči událostí.
  • Funkce používané v aplikaci, jako je například jen zobrazení a nadmořská výška. Tyto informace se ukládají na serverech společnosti Microsoft po dobu 30 dnů.

Pomoc na dálku protokoluje podrobnosti relace do protokolů událostí Windows na zařízení pomáhající osoby i sdílejícího. Microsoft nemá přístup k relaci nebo nevidí žádné akce nebo stisknutí kláves, ke kterým v relaci dochází.

Pomocník a sdílející uvidí následující informace o druhé osobě převzaté z jejich organizačních profilů:

  • Profilový obrázek organizace (pokud je k dispozici)
  • Název společnosti
  • Ověření domény
  • Jméno a příjmení
  • Pozice

Microsoft neukládá žádná data o sdílejícím nebo pomocníkovi déle než 30 dnů.

Další kroky

Další: Nasazení Pomoci na dálku >

  • Last updated on