規劃使用 Microsoft Intune 的遠端說明

在本文中，提供協助的使用者稱為 協助者，而收到協助的使用者則稱為 共用者，因為他們與協助者共用其工作階段。 協助者和共用者都能登入貴組織以使用應用程式。 您可以透過您的 Microsoft Entra ID，為遠端說明工作階段建立適當的信任。

遠端說明 會使用Intune角色型存取控制 (RBAC) 來設定允許協助程式的存取層級。 透過 RBAC，您可以決定哪些使用者可以提供說明，以及他們可以提供的協助層級。

提示

如需根據您的環境獲得自訂體驗，您可以在 Microsoft 365 系統管理中心存取 Intune 套件附加元件指南。

規劃檢查清單

請遵循此清單來簡化您的規劃流程。

  • 平台和裝置支援
  • 語言支援
  • 租用戶設定
  • 條件式存取
  • 角色型存取控制 (RBAC)
  • 網路考量
  • 必要條件
  • 限制
  • 已知問題
  • 已註冊或未註冊的裝置

規劃考量

使用這些考量來準備您的組織以接受遠端說明。

  • 強制執行最低權限：僅授予每個支援角色所需的最低遠端說明權限。 如有必要，請使用自訂 Intune 角色來限制誰可以完全控制或執行自動工作階段。 例如，層級 1 可能會取得僅供檢視權限，而層級 2 則會取得完全控制權限。 此原則有助於保護使用者隱私和裝置完整性。

  • 縮小範圍：自動控制可讓協助程式針對沒有使用者在場的裝置進行疑難排解。 建立包含 Windows 自動控制遠端登入和 Android 自動控制權限的專用自訂 Intune 角色，並只將其指派給授權的支援人員，例如層級 3 技術支援人員或資深系統管理員。 將角色範圍限定為僅需要自動支援的裝置群組。

  • 針對協助程式使用條件式存取：由於協助程式具有使用者裝置的存取權限，因此請新增額外的安全性層。 強烈建議透過條件式存取，要求協助程式帳戶具備 MFA 或符合規範的裝置狀態。 這些措施有助於防止遭入侵的協助程式帳戶被用來存取裝置。 只有 Windows 和 macOS 支援遠端說明的 Microsoft Entra 條件式存取原則。

  • 僅在需要時啟用未註冊的裝置支援：允許在未註冊的裝置上遠端說明 (Microsoft Entra 僅註冊) 方便支援個人裝置，但監督也會減少，例如沒有裝置合規性資訊或稽核資料有限。 請深思熟慮啟用此功能，並考慮使用單獨的角色來限制哪些支援人員可以幫助已取消註冊的裝置。

  • 網路和防火牆： 確認公司網路原則不會干擾遠端說明。 應用程式會透過連接埠 443 與 Azure 雲端端點進行通訊。 如果您的使用者是在公司網路上，請確保 Proxy 或 SSL 檢查不會中斷連線。 如果您的 Proxy 伺服器使用 SSL 檢查，則應排除針對遠端說明列出的網域，以避免發生問題。 如需詳細資訊，請參閱遠端說明的網路端點。

  • 政府雲端支援：政府社群雲端 (GCC) 和 GCC High 環境中支援 遠端說明。 DoD (美國國防部) 租用戶不支援 遠端說明。 遠端說明 不支援 GCC 或 GCC High 環境中的 Azure 虛擬桌面 (AVD) 。 如需詳細資訊，請移至適用於美國政府的 Microsoft Intune GCC High 和 DoD 服務描述。

  • 遠端說明共用程式、協助程式和裝置必須位於相同的租用戶中：遠端說明 與合規性原則和角色型存取控制 (RBAC) 整合要求所有參與者都在相同的租用戶中。

    注意事項

    這可能會影響技術支援人員系統管理員跨租用戶工作的外包技術支援方案。 假設您的使用者 (共用者) 裝置屬於租用戶 A，但協助程式的裝置屬於租用戶 B， (如果他們使用由其外包組織) 發出的裝置。 作為因應措施，請考慮將加入租用戶 A 的裝置提供給服務台，或考慮提供加入租用戶 A 的 Windows 365 或 AVD 裝置的存取權。

  • 與端點分析結合：使用來自遠端說明工作階段的資料來識別常見問題。 例如，如果許多工作階段顯示合規性警告，請考慮改善您的裝置合規性原則。 遠端說明稽核記錄與 Intune 端點分析結合，可能會提供支援趨勢的深入解析，例如經常發生問題的應用程式或原則。

  • 讓遠端說明應用程式保持在最新狀態： 新版本的 Windows 和 macOS 會帶來改進與必要的修正。 Microsoft 可能會強制升級為舊版。 在兩個平台上使用自動更新，或在測試之後透過 Intune 定期部署最新套件。 若為 Android，則可透過 Google Play 取得更新。 在定期維護時段監控裝置，以確保它們收到最新版本。

  • 規劃隱私和合規性：遠端說明可能會引起隱私問題。 為了協助解決這些問題，請告知遠端說明需要使用者同意出席工作階段。 針對 Windows 和 Android 裝置上的自動存取，使用者無法觀察支援人員所執行的動作，但當自動工作階段處於使用中狀態時，系統會通知使用者。 所有遠端說明工作階段都會明確指示使用者，並且服務不會儲存任何工作階段記錄。 請考慮在組織的 IT 原則和使用者指導方針中記錄這些行為。 由於自動存取允許在沒有作用中使用者存在的情況下提供支援，因此只能在適當的管理和支援案例中使用它。

  • 分階段推出： 可能的話，請在試驗階段部署遠端說明。 從 IT 或小型部門開始解決任何問題。 收集協助程式和使用者的意見反應。 一旦您有信心，就可以擴展到整個組織。 分階段式方法可避免因意外的技術問題而使支援人員不堪重負。

協助程式和用戶端模式

遠端說明用戶端會根據協助程式應用程式和共用程式應用程式的組合，支援不同的模式。 Windows、macOS 和 Android 具有可安裝的遠端說明應用程式，以增強功能。 遠端說明應用程式有時稱為原生應用程式。 遠端說明也支援從 Web 應用程式功能降低的裝置共用。

以下是不同的模式：

  • 已出席：使用者參與的支援工作階段，並將存取權授與協助者。 出席工作階段支援僅供檢視存取、完全控制和選擇性的 UAC 提高權限。

    僅檢視： 要求遠端螢幕的檢視。 若要將使用者隱私權的影響降到最低，除非需要完全控制，否則建議使用此選項。

    要求完全控制： 要求遠端裝置的完整控制權。

    提高權限：允許協助者在共用者裝置上出現提示時，輸入使用者帳戶控制 (UAC) 認證。 啟用提高權限也可讓協助程式在共用者授與協助程式存取權時檢視和控制共用者的裝置。

  • 自動：允許授權協助程式存取及控制受 Intune 管理的裝置的支援工作階段，而不需要工作階段中的主動參與者。 Windows 和 Android 裝置上支援此功能。

下表顯示協助程式應用程式和共用程式應用程式的模式支援。

協助來源：
Windows 原生		 協助來源：
Windows 網頁		 協助來源：
macOS 網頁版
共用來源：
Windows 原生		 ✅ 僅
✅ 檢視 完全控制
✅ 海拔高度		 ✅ 自動 不支援
共用來源：
macOS 原生		 不支援 ✅ 僅
✅ 檢視 完全控制		 ✅ 僅
✅ 檢視 完全控制
共用來源：
Android 原生		 不支援 ✅ 僅
✅ 檢視 完全控制
✅ 自動參與		 ✅ 僅
✅ 檢視 完全控制
✅ 自動參與
共用來源：
macOS 網路應用程式		 不支援 ✅ 僅檢視 ✅ 僅檢視
共用來源：
Windows 網路應用程式		 不支援 ✅ 僅檢視 ✅ 僅檢視

注意事項

對於正在接受支援的 Windows 裝置，透過個別的遠端說明應用程式，提供有人參與和自動工作階段。 僅供檢視、完全控制和提高權限適用於有人參與的體驗，而 [自動控制] 則適用於自動體驗。

如需部署遠端說明應用程式的相關資訊，請參閱部署遠端說明。

驗證和權限

協助者和共用者都使用 Microsoft Entra ID 登入您的組織，這可確保為遠端說明工作階段建立適當的信任。

遠端說明 會使用Intune角色型存取控制 (RBAC) 來設定允許協助程式的存取層級。 透過 RBAC，租用戶系統管理員可以決定哪些使用者可以提供說明，以及他們可以提供的協助層級。

角色型存取控制 (RBAC)

若要使用 遠端說明，協助程式必須將適當的角色型存取控制 (RBAC) 權限指派給其使用者帳戶。 下表列出遠端說明的可用權限及其說明。

權限 描述
遠端說明應用程式 - 檢視畫面 允許協助者不使用控制權來檢視共用者的畫面。
遠端說明應用程式 - 完全控制 允許協助程式完全控制共用者的裝置。
遠端說明應用程式 - 海拔高度 允許協助程式在 Windows 上與使用者帳戶控制提示互動。
遠端說明應用程式 - Android 無人值守控制 允許協助程式連線到 Android 裝置，而不需要共用者每次都接受連線。 此功能需要將 Android 裝置在 Intune 中註冊為專用裝置。 明確指派此權限，並將其範圍限定為可接收自動支援的特定裝置。
遠端說明應用程式 - Windows 自動控制遠端登入 允許協助程式啟動對目標實體公司擁有的 Windows 裝置的自動遠端登入工作階段，而不需要共用者每次都接受連線。 明確指派此權限，並將其範圍限定為可接收自動支援的特定裝置。
遠端工作 - 提供遠端協助 允許協助程式為使用者提供遠端協助。
遠端協助連接器 - 讀取 需要允許使用者在啟動工作階段時查看是否已為租用戶設定遠端說明。

下列 Intune 內建角色包括遠端說明權限：

  • 技術支援中心操作員 (檢視畫面、完全控制、提升權限、Android 自動控制、遠端工作 - 提供遠端協助、遠端協助連接器 - 讀取)
  • 學校系統管理員 (檢視畫面、完全控制、提升權限、遠端工作 - 提供遠端協助、遠端協助連接器 - 讀取)

注意事項

人員需要遠端工作 - 提供遠端協助權限、「遠端協助連接器 - 讀取」權限，以及至少一個遠端說明權限的組合，才能提供協助。 針對已定義範圍群組中的使用者或裝置，將權限授與給角色指派的系統管理員群組中的使用者。 如需有關Intune角色型存取控制的詳細資訊，請參閱 關於角色型存取控制 (RBAC) for Microsoft Intune。

重要事項

如果共用者或共用者的裝置不在協助程式的範圍內，該協助程式將無法提供協助。 [ 所有裝置 ] 範圍群組不包含未註冊的裝置。 請在指派程序期間改用使用者範圍群組。

如果您選取要從指派中排除的群組，例如原則或應用程式指派，則該群組必須巢狀放在其中一個 RBAC 指派 範圍群組中，或在 RBAC 角色指派中個別列為範圍群組。

必要條件

遠端說明具有下列需求：

  • 目標使用該服務的每個人的遠端說明授權 - 包括協助者 (IT 支援工作者) ，以及共用者 (使用者) 。
  • 支援的 平台或裝置。
  • Intune 註冊的裝置必須向 Microsoft Entra 註冊。

除了 Microsoft Intune 方案 1 或 Plan 2 之外，此功能還需要訂閱。 如需授權選項，請參閱 Microsoft Intune 方案與定價，以及 Microsoft 365 安全性企業方案。

限制

遠端說明具有下列限制：

  • 您無法建立從一個租用戶到不同租用戶的遠端說明工作階段。
  • 遠端說明可能無法在所有市場或當地語系化中使用。
  • 下列平台的政府社群雲端 (GCC) 和 GCC High 環境中支援 遠端說明：
    • Windows
    • ARM64 裝置上的 Windows
    • Windows 365
    • 註冊為 Android 企業版專用裝置的 Samsung 和 Zebra 裝置
    • macOS 13、14 和 15
  • 遠端說明 不支援 GCC 或 GCC High 環境中的 Azure 虛擬桌面 (AVD) 。
  • DoD (美國國防部) 租用戶不支援 遠端說明。 如需詳細資訊，請移至適用於美國政府的 Microsoft Intune GCC High 和 DoD 服務描述。

支援的平台

每個平台都有特定的先決條件和功能。

對於有人值守的控制，遠端說明支援：

  • Windows x86、x64 和 ARM64
  • Windows 365
  • Azure 虛擬桌面 (桌面和 RemoteApp 工作階段)

對於無人參與控制，適用其他需求。 目標裝置必須是執行 x64 型作業系統的實體、受 Intune 管理的公司擁有之 Windows 裝置，並且已加入 Microsoft Entra 或已加入 Microsoft Entra 混合式裝置。 虛擬裝置，包括 Windows 365 和 Azure 虛擬桌面，以及未註冊和個人擁有的 (BYOD) 裝置，不支援自動控制。 不符合這些需求的裝置仍然可以接受有人值守的支援。

若要接收遠端說明通知和自動支援請求，請確定目標裝置已安裝 Intune 管理擴充功能 (IME) 。 我們也建議您將 Windows 和 Intune 管理擴充功能保持在最新狀態，以確保獲得最可靠的體驗。 如需詳細資訊，請參閱 Intune 管理擴充功能。

我們不建議從遠端啟動與 Azure 虛擬桌面上使用者的工作階段。 如需詳細資訊，請參閱 Azure 虛擬桌面桌面和 RemoteApp 工作階段中的提供說明。

網路考量

協助程式和共用程式都必須能夠透過連接埠 443 連線到特定端點。 如需詳細資訊，請參閱遠端說明的網路端點。

遠端說明透過連接埠 443 (HTTPS) 進行通訊，並使用遠端桌面通訊協定 (RDP) 連線到遠端協助服務https://remotehelp.microsoft.com。 流量會使用 TLS 1.2 加密。

需求和必要條件

有人值守控制

如果您的組織將遠端說明限制為僅限已註冊的裝置，則共用者的 Windows 裝置必須註冊到遠端說明工作階段開始的相同租用戶中。

自動控制

只有在已註冊的裝置上才支援自動控制的遠端說明。 下列需求也適用於目標裝置：

  • 必須安裝 Azure 虛擬桌面代理程式和 Azure 虛擬桌面代理程式開機載入器。 請先安裝代理程式，然後再安裝開機載入器。 安裝之後，不需要進一步設定。 您可以將兩者部署為 Win32 應用程式。 如需詳細資訊，請參閱部署遠端說明。
  • 必須安裝 Intune 管理擴充功能。 這是協調自動工作階段所必需的。
  • 遠端桌面必須在裝置上啟用。 您可以透過 Intune 設定目錄組態設定檔啟用此設定。
  • 裝置必須已開啟電源並連線至網際網路。 處於睡眠、休眠或關機的裝置無法接收自動支援。
  • 協助程式必須獲指派 [遠端說明] 應用程式 - Windows 無人參與控制 範圍為目標裝置的遠端登入權限。

聊天支援的語言

下列語言支援開啟聊天的遠端說明：

  • 阿拉伯文
  • 保加利亞文
  • 簡體中文
  • 繁體中文
  • 克羅埃西亞文
  • 捷克文
  • 丹麥文
  • 荷蘭文
  • 英文
  • 愛沙尼亞文
  • 芬蘭文
  • 法文
  • 德文
  • 希臘文
  • 希伯來文
  • 匈牙利文
  • 義大利文
  • 日文
  • 韓文
  • 拉脫維亞文
  • 立陶宛文
  • 挪威文
  • 波蘭文
  • 葡萄牙文
  • 羅馬尼亞文
  • 俄文
  • 塞爾維亞文
  • 斯洛伐克文
  • 斯洛維尼亞文
  • 西班牙文
  • 瑞典文
  • 泰文
  • 土耳其文
  • 烏克蘭文

資料與隱私權

Microsoft 記錄少量的工作階段資料，以監視遠端說明系統的健康情況。 此資料包含下列資訊：

  • 工作階段的開始與結束時間。 此資訊會在 Microsoft 伺服器上儲存 30 天。
  • 誰協助了誰，以及在什麼裝置上協助了誰。 此資訊會在 Microsoft 伺服器上儲存 30 天。
  • 遠端說明本身所產生的錯誤，例如意外中斷連線。 此資訊會儲存在共用者裝置上的事件檢視器中。
  • 應用程式中使用的功能，例如僅限檢視和海拔高度。 此資訊會在 Microsoft 伺服器上儲存 30 天。

遠端說明會將工作階段詳細資料記錄到協助程式和共用者裝置上的 Windows 事件記錄檔。 Microsoft 無法存取工作階段，或檢視工作階段中發生的任何動作或按鍵輸入。

協助者和共用者會看到從其組織設定檔中取得的其他人員的下列資訊：

  • 如果有的話，其組織個人資料圖片 ()
  • 公司名稱
  • 已驗證網域
  • 名字和姓氏
  • 職稱

Microsoft 不會儲存有關共用者或協助程式的任何資料超過 30 天。

後續步驟

下一個：部署遠端說明 >

  • Last updated on