规划使用 Microsoft Intune 的远程帮助

在本文中，提供帮助的用户称为 帮助者，接受帮助的用户称为 共享者，因为他们与帮助者共享其会话。 帮助者和共享者都登录到你的组织以使用该应用。 通过 Microsoft Entra ID，可以为远程帮助会话建立适当的信任。

远程帮助 使用Intune基于角色的访问控制 (RBAC) 来设置允许帮助程序的访问级别。 通过 RBAC，可以确定哪些用户可以提供帮助以及他们可以提供的帮助级别。

提示

若要获得基于环境的自定义体验，可以访问 Microsoft 365 管理中心中的 Intune 套件加载项指南。

计划清单

按照此清单简化规划流程。

  • 对平台和设备的支持
  • 语言支持
  • 租户配置
  • 条件访问
  • 基于角色的访问控制 (RBAC)
  • 网络注意事项
  • 先决条件
  • 限制
  • 已知问题
  • 已注册或已取消注册的设备

规划注意事项

使用这些注意事项让组织为远程帮助做好准备。

  • 强制执行最低权限：仅授予每个支持角色所需的最小远程帮助权限。 如有必要，使用自定义 Intune 角色来限制谁可以完全控制或执行无人参与会话。 例如，第 1 级支持可能获得仅查看权限，而第 2 层支持则获得完全控制权限。 此原则有助于保护用户隐私和设备完整性。

  • 缩小无人参与控制范围：无人参与控制允许帮助程序在没有最终用户在场的情况下对设备进行故障排除。 创建专用的自定义 Intune 角色，其中包括 Windows 无人参与控制远程登录和 Android 无人参与控制权限，并将其仅分配给授权的支持人员，如第 3 层支持人员或高级管理员。 将角色范围限定为仅需要无人参与支持的设备组。

  • 对帮助程序使用条件访问：由于帮助程序提升了对用户设备的访问权限，因此请添加额外的安全层。 强烈建议通过条件访问要求帮助程序帐户获得 MFA 或合规设备状态。 这些措施有助于防止被盗用的帮助程序帐户被用来访问设备。 远程帮助的 Microsoft Entra 条件访问策略仅在 Windows 和 macOS 上受支持。

  • 仅在需要时启用未注册的设备支持： 仅允许在未注册设备上远程帮助 (Microsoft Entra 注册) 便于支持个人设备，但会减少监督，例如没有设备合规性信息或审核数据有限。 请周密启用此功能，并考虑限制哪些支持人员可以使用单独的角色帮助注销设备。

  • 网络和防火墙：验证公司网络策略是否不会干扰远程帮助。 应用通过端口 443 与 Azure 云终结点通信。 如果用户位于公司网络上，请确保代理或 SSL 检查不会中断连接。 如果您的代理服务器使用 SSL 检查，则应排除列出的远程帮助域以避免出现问题。 有关详细信息，请参阅远程帮助的网络终结点。

  • 减少对政府云的支持：政府社区云 (GCC) 环境中支持 远程帮助，但 Azure 虚拟桌面 (AVD) 除外。 GCC High 或 DoD (美国国防部) 租户不支持 远程帮助。 有关详细信息，请转到 Microsoft Intune for US Government GCC High 和 DoD 服务说明。

  • 远程帮助共享者、帮助程序和设备必须在同一租户中：远程帮助 与合规性策略和基于角色的访问控制 (RBAC) 的集成要求所有参与者都在同一租户中。

    注意

    这可能会影响支持人员管理员跨租户工作的外包支持方案。 考虑这样一种情况：用户的 (共享者) 设备属于租户 A，但帮助程序的设备属于租户 B (，前提是他们使用的设备是由其外包组织) 颁发的。 作为解决方法，请考虑向支持人员提供加入租户 A 的设备，或考虑向他们提供对加入租户 A 的 Windows 365 或 AVD 设备的访问权限。

  • 结合终结点分析：使用来自远程帮助会话的数据来识别常见问题。 例如，如果许多会话显示合规性警告，请考虑改进设备合规性策略。 远程帮助审核日志与 Intune 终结点分析相结合可能会提供对支持趋势的见解，例如经常出现问题的应用或策略。

  • 使远程帮助应用保持最新状态：新版本的 Windows 和 macOS 带来了改进和所需的修复。 Microsoft 可能会强制升级旧版本。 在这两个平台上使用自动更新，或者在测试后通过 Intune 定期部署最新包。 对于 Android，可通过 Google Play 获取更新。 在定期维护窗口期间监视设备，以确保其收到最新版本。

  • 隐私和合规性计划：远程帮助可能会引起隐私问题。 为了帮助解决这些问题，请传达远程帮助需要用户同意才能参与会话。 对于 Windows 和 Android 设备上的无人参与访问，用户无法观察支持人员执行的操作，但会在无人参与会话处于活动状态时收到通知。 所有远程帮助会话都清楚地指示给用户，并且服务不会存储任何会话记录。 请考虑在组织的 IT 策略和用户指南中记录这些行为。 由于无人参与访问允许在没有活动用户的情况下提供支持，因此只能将其用于适当的管理和支持方案。

  • 分阶段推出：如果可能，请在试点阶段部署远程帮助。 从 IT 或一个小部门开始解决任何问题。 收集帮助程序和用户的反馈。 一旦你有信心，就扩展到整个组织。 分阶段的方法可以防止因意外的技术问题而使服务台不堪重负。

帮助程序和客户端模式

远程帮助客户端基于帮助程序应用程序和共享程序应用程序的组合支持不同的模式。 Windows、macOS 和 Android 具有可安装的远程帮助应用以增强功能。 远程帮助应用有时称为本机应用。 远程帮助还支持从 Web 应用功能减少的设备共享。

这些是不同的模式：

  • 已参与：最终用户参与并授予对帮助程序的访问权限的支持会话。 参与的会话支持仅查看访问、完全控制和可选的 UAC 提升。

    仅查看：请求远程屏幕的视图。 为了最大程度地减少对最终用户隐私的影响，除非需要完全控制，否则建议使用此选项。

    请求完全控制： 请求完全控制远程设备。

    提升：允许帮助程序在共享者的设备上出现提示时输入用户帐户控制 (UAC) 凭据。 启用提升权限还允许帮助程序在共享者授予帮助程序访问权限时查看和控制共享者的设备。

  • 无人参与：支持会话，允许授权帮助程序在没有会话活动参与者的情况下访问和控制 Intune 托管设备。 Windows 和 Android 设备支持此功能。

此表显示了帮助程序应用和共享程序应用的模式支持。

帮助来源：
Windows 本机		 帮助来源：
Windows Web		 帮助来源：
macOS Web
共享来源：
Windows 本机		 ✅ 仅
✅ 查看 完全控制
✅ 高程		 ✅ 无人参与 不支持
共享来源：
macOS 本机		 不支持 ✅ 仅
✅ 查看 完全控制		 ✅ 仅
✅ 查看 完全控制
分享来源：
Android 原生		 不支持 ✅ 仅
✅ 查看 完全控制
✅ 无人参与		 ✅ 仅
✅ 查看 完全控制
✅ 无人参与
共享来源：
macOS WebApp		 不支持 ✅ 仅查看 ✅ 仅查看
共享来源：
Windows Web 应用		 不支持 ✅ 仅查看 ✅ 仅查看

注意

对于接受支持的 Windows 设备，通过单独的远程帮助应用程序提供有人参与和无人参与的会话。 仅查看、完全控制和提升适用于有人参与的体验，而无人参与控制适用于无人参与的体验。

有关部署远程帮助应用的信息，请参阅部署远程帮助。

身份验证和权限

帮助程序和共享程序都使用 Microsoft Entra ID 登录到组织，这可确保为远程帮助会话建立适当的信任。

远程帮助 使用Intune基于角色的访问控制 (RBAC) 来设置允许帮助程序的访问级别。 通过 RBAC，租户管理员可以确定哪些用户可以提供帮助，以及他们可以提供的帮助级别。

基于角色的访问控制 (RBAC)

若要使用 远程帮助，帮助程序必须具有分配给其用户帐户的基于角色的适当访问控制 (RBAC) 权限。 下表列出了远程帮助的可用权限及其说明。

权限 说明
远程帮助应用 - 查看屏幕 允许帮助程序在不进行控制的情况下查看共享者的屏幕。
远程帮助应用程序 - 完全控制 允许帮助程序完全控制共享者的设备。
远程帮助应用程序 - 高程 允许帮助程序与 Windows 上的用户帐户控制提示交互。
远程帮助应用程序 - Android 无人值守控制 允许帮助程序连接到 Android 设备，而不要求共享者每次都接受连接。 此功能要求将 Android 设备作为专用设备注册到 Intune。 显式分配此权限，并将其范围限定为可接收无人参与支持的特定设备。
远程帮助应用 - Windows 无人参与控制 远程登录 允许帮助程序启动到目标的、物理的、公司拥有的 Windows 设备的无人参与远程登录会话，而无需共享者每次都接受连接。 显式分配此权限，并将其范围限定为可接收无人参与支持的特定设备。
远程任务 - 提供远程协助 允许帮助程序向用户提供远程协助。
远程协助连接器 - 读取 为了允许用户在启动会话时查看是否为租户配置了远程帮助。

以下 Intune 内置角色包括远程帮助权限：

  • 技术支持操作员 (查看屏幕、完全控制、提升、Android 无人参与控制、远程任务 - 提供远程协助、远程协助连接器 - 阅读)
  • 学校管理员 (查看屏幕、完全控制、提升权限、远程任务 - 提供远程协助、远程协助连接器 - 阅读)

注意

一个人需要“远程任务 - 提供远程协助”权限、“远程协助连接器 - 读取”权限，以及至少一个用于提供帮助的“远程帮助”权限的组合。 权限将授予已定义范围组中用户或设备的角色分配的管理员组中的用户。 有关Intune基于角色的访问控制的更多信息，请参阅关于基于角色的访问控制 (RBAC) for Microsoft Intune。

重要

如果共享者或共享者的设备不在帮助程序范围内，则该帮助程序无法提供帮助。 “ 所有设备 ”范围组不包括未注册的设备。 相反，请在分配过程中使用用户作用域组。

如果选择要从分配（例如策略或应用分配）中排除的组，则它需要嵌套在其中一个 RBAC 分配 范围组中，或者需要在 RBAC 角色分配中单独列为范围组。

先决条件

远程帮助具有以下要求：

  • 面向所有要使用该服务的人提供远程帮助许可证，包括帮助者 (IT 支持人员) 以及共享者 (用户) 。
  • 受支持的平台或设备。
  • 注册 Intune 的设备必须向 Microsoft Entra 注册。

除了 Microsoft Intune 计划 1 或计划 2 外，还需要订阅此功能。 有关许可选项，请参阅 Microsoft Intune 计划和定价以及 Microsoft 365 安全性企业计划。

限制

远程帮助具有以下限制：

  • 不能建立从一个租户到另一个租户的远程帮助会话。
  • 远程帮助可能并非在所有市场或本地化都可用。
  • 以下平台上的政府社区云 (GCC) 环境中支持 远程帮助：
    • Windows
    • ARM64 设备上的 Windows
    • Windows 365
    • 注册为 Android 企业专用设备的 Samsung 和 Zebra 设备
    • macOS 13、14 和 15
  • GCC High 或 DoD (美国国防部) 租户不支持 远程帮助。 有关详细信息，请转到 Microsoft Intune for US Government GCC High 和 DoD 服务说明。

支持的平台

每个平台都有特定的先决条件和功能。

对于有人参与的控制，远程帮助支持：

  • Windows x86、x64 和 ARM64
  • Windows 365
  • Azure虚拟桌面 (桌面和 RemoteApp 会话)

对于无人参与控制，需遵循其他要求。 目标设备必须是运行基于 x64 的操作系统的由 Intune 管理的公司拥有的物理 Windows 设备，并且已加入 Microsoft Entra 或加入 Microsoft Entra 混合设备。 虚拟设备（包括 Windows 365 和 Azure 虚拟桌面）以及未注册和个人拥有的 (BYOD) 设备）不支持无人参与控制。 不满足这些要求的设备仍可获得有人参与的支持。

若要接收远程帮助通知和无人参与的支持请求，请确保目标设备安装了 Intune 管理扩展 (IME) 。 我们还建议使 Windows 和 Intune 管理扩展保持最新状态，以确保最可靠的体验。 有关详细信息，请参阅 Intune 管理扩展。

我们不建议在 Azure 虚拟桌面上远程启动与用户的会话。 有关详细信息，请参阅在 Azure 虚拟桌面和 RemoteApp 会话中提供帮助。

网络注意事项

帮助程序和共享程序都必须能够通过端口 443 访问特定终结点。 有关详细信息，请参阅远程帮助的网络终结点。

远程帮助 通过端口 443 (https) 进行通信，并使用远程桌面协议 (RDP) 连接到远程协助服务https://remotehelp.microsoft.com。 流量使用 TLS 1.2 进行加密。

要求和先决条件

有人参与控制

如果组织将远程帮助限制为仅注册的设备，则共享者的 Windows 设备必须注册到远程帮助会话开始的同一租户中。

无人参与控制

无人参与控制的远程帮助仅在注册设备上受支持。 以下要求也适用于目标设备：

  • 必须安装 Azure 虚拟桌面代理和 Azure 虚拟桌面代理启动加载程序。 首先安装代理，然后安装启动加载程序。 安装后无需进一步配置。 可以将两者部署为 Win32 应用。 有关详细信息，请参阅部署远程帮助。
  • 必须安装 Intune 管理扩展。 它是协调无人参与会话所必需的。
  • 必须在设备上启用远程桌面。 可以通过 Intune 设置目录配置文件启用此设置。
  • 设备必须已打开并连接到 Internet。 处于睡眠、休眠或关闭状态的设备无法接收无人参与支持。
  • 必须为帮助程序分配远程帮助应用 - Windows 无人参与控制范围为目标设备的远程登录权限。

支持的聊天语言

“打开聊天”的远程帮助支持以下语言：

  • 阿拉伯语
  • 保加利亚语
  • 中文（简体）
  • 中文（繁体）
  • 克罗地亚语
  • 捷克语
  • 丹麦语
  • 荷兰语
  • 英语
  • 爱沙尼亚语
  • 芬兰语
  • 法语
  • 德语
  • 希腊语
  • 希伯来语
  • 匈牙利语
  • 意大利语
  • 日语
  • 朝鲜语
  • 拉脱维亚语
  • 立陶宛语
  • 挪威语
  • 波兰语
  • 葡萄牙语
  • 罗马尼亚语
  • 俄语
  • 塞尔维亚语
  • 斯洛伐克语
  • 斯洛文尼亚语
  • 西班牙语
  • 瑞典语
  • 泰语
  • 土耳其语
  • 乌克兰语

数据和隐私

Microsoft 记录少量会话数据来监视远程帮助系统的运行状况。 此数据包括以下信息：

  • 会话的开始时间和结束时间。 此信息在 Microsoft 服务器上存储 30 天。
  • 谁在哪些设备上帮助了谁。 此信息在 Microsoft 服务器上存储 30 天。
  • 由远程帮助本身引起的错误，例如意外断开连接。 此信息存储在事件查看器中的共享者设备上。
  • 应用程序中使用的功能，例如仅查看和高程。 此信息在 Microsoft 服务器上存储 30 天。

远程帮助将会话详细信息记录到帮助程序和共享者设备上的 Windows 事件日志中。 Microsoft 无法访问会话或查看会话中发生的任何操作或键击。

帮助者和共享者将看到有关另一个人的以下信息（取自其组织配置文件）：

  • 他们的组织个人资料图片（如果存在）
  • 公司名称
  • 已验证域
  • 姓和名
  • 职务

Microsoft 不会将有关共享者或帮助者的任何数据存储超过 30 天。

后续步骤

下一步： 部署远程帮助 >

  • Last updated on