Come configurare Remote Help in Microsoft Intune

Simone Termine

Introduzione

Remote Help è la soluzione di assistenza remota integrata in Microsoft Intune che permette al personale IT di visualizzare e controllare i dispositivi degli utenti utilizzando le identità Microsoft Entra ID e il modello di autorizzazione RBAC di Intune. Il collegamento remoto, però, è soltanto una parte del servizio; infatti, attraverso Remote Help, l’azienda può stabilire quali operatori sono autorizzati a fornire assistenza, quali utenti o dispositivi possono raggiungere e se possono limitarsi a visualizzare lo schermo oppure ottenere il controllo completo e interagire con le richieste UAC.

In questo articolo vedremo come funziona Remote Help, quali sono i prerequisiti, come abilitarlo nel tenant Microsoft Intune, come distribuire l’applicazione e quali ruoli assegnare agli operatori. Nella parte finale avvieremo una sessione completa su Windows 11 e analizzeremo alcune best practice utili per introdurre il servizio in produzione senza concedere più privilegi del necessario.

Che cos’è Remote Help

Remote Help è una soluzione cloud per l’assistenza remota disponibile come funzionalità avanzata di Microsoft Intune. Può essere utilizzata attraverso le opzioni di licensing che includono il servizio, come Microsoft Intune Plan 2 e Microsoft Intune Suite, oppure tramite l’add-on dedicato previsto dal proprio contratto.

All’interno di una sessione vengono distinti due soggetti:

• l’helper è l’operatore del supporto tecnico che fornisce assistenza
  
• lo sharer è l’utente che condivide il proprio dispositivo.
  

Entrambi devono autenticarsi utilizzando un account Microsoft Entra ID appartenente alla stessa azienda. Non è quindi possibile utilizzare Remote Help per collegare utenti e operatori appartenenti a tenant differenti. Prima dell’avvio della sessione, helper e sharer visualizzano alcune informazioni provenienti dal profilo aziendale dell’altra persona, tra cui nome, cognome, azienda, ruolo, immagine del profilo e dominio verificato. L’utente può quindi controllare chi sta richiedendo l’accesso prima di autorizzare la condivisione.

Su Windows, Remote Help consente all’operatore di visualizzare lo schermo dell’utente, richiedere il controllo completo del dispositivo, utilizzare una chat durante la sessione e interagire con le richieste User Account Control quando dispone dello specifico permesso di elevazione. La differenza rispetto a una normale applicazione di controllo remoto è rappresentata dall’integrazione con Microsoft Intune. Le capacità dell’operatore non dipendono soltanto dall’installazione del client, ma dalle autorizzazioni assegnate attraverso i ruoli RBAC e dal perimetro definito tramite gli scope group.

Come funziona Remote Help

Una sessione Remote Help può essere avviata direttamente dalla pagina del dispositivo nel Microsoft Intune Admin Center oppure utilizzando un codice di sicurezza generato dall’applicazione.

Nel primo caso, l’operatore individua il dispositivo gestito, avvia una nuova richiesta di assistenza e invia una notifica all’utente. Quando lo sharer apre Remote Help, l’applicazione associa automaticamente la richiesta al dispositivo selezionato nel portale. Nel secondo caso, l’helper genera un codice temporaneo e lo comunica all’utente, che dovrà inserirlo nella propria applicazione Remote Help. Questa modalità può essere utilizzata quando la notifica non viene ricevuta oppure quando il processo di supporto è già iniziato tramite telefono, chat aziendale o sistema di ticketing.

Indipendentemente dalla modalità scelta, il funzionamento rimane sostanzialmente lo stesso. Helper e sharer eseguono l’accesso con il proprio account Microsoft Entra ID, verificano l’identità dell’altra persona e concordano il livello di accesso necessario. L’operatore può richiedere la sola visualizzazione oppure il controllo completo, ma la sessione inizia solamente dopo l’approvazione dell’utente. Il ruolo assegnato all’helper stabilisce quali richieste può effettuare. Un operatore autorizzato solamente alla visualizzazione non potrà ottenere il controllo completo, mentre la gestione dei prompt UAC richiederà il permesso Remote Help dedicato all’elevazione.

Prerequisiti di Remote Help

Prima di procedere con la configurazione è necessario verificare che il tenant, gli utenti e i dispositivi rispettino i requisiti previsti dal servizio. Per utilizzare Remote Help in uno scenario Windows sono necessari:

• una sottoscrizione Microsoft Intune
  
• una licenza Remote Help per ogni helper e sharer che utilizza il servizio
  
• account Microsoft Entra ID appartenenti allo stesso tenant
  
• dispositivi che utilizzano una versione di Windows supportata
  
• dispositivi dello sharer registrati in Microsoft Entra ID e gestiti da Intune
  
• l’app Remote Help installata sul dispositivo dell’helper e su quello dello sharer
  
• connettività HTTPS verso gli endpoint cloud utilizzati dal servizio
  

Remote Help comunica tramite la porta TCP 443 e cifra il traffico utilizzando TLS. In presenza di proxy, filtri di rete o soluzioni di SSL inspection è necessario verificare che gli endpoint richiesti non vengano bloccati o sottoposti a un’ispezione che possa interferire con la creazione della sessione. Quando la richiesta viene avviata direttamente dalla pagina del dispositivo nel portale Intune, sul computer dello sharer deve essere presente anche la Microsoft Intune Management Extension. Il componente viene utilizzato per ricevere il comando di avvio remoto e mostrare la relativa notifica all’utente.

La Intune Management Extension non è invece necessaria per associare una sessione tramite codice, ma rimane consigliabile verificare la sua presenza sui dispositivi Windows gestiti sui quali si intende utilizzare l’avvio dal portale.

Come attivare Remote Help in Microsoft Intune

L’assegnazione delle licenze non abilita automaticamente Remote Help, il servizio è disattivato per impostazione predefinita e deve essere configurato dal Microsoft Intune Admin Center. Per procedere, accedere al portale e selezionare Tenant administration > Remote Help dove all’interno della scheda Settings sono disponibili le impostazioni generali del servizio, configurabili tramite il pulsante Configure.

La prima opzione, Enable Remote Help, deve essere configurata su Enabled. Questa impostazione abilita Remote Help a livello di tenant e consente agli utenti autorizzati di autenticarsi nell’applicazione utilizzando il proprio account aziendale. La seconda opzione, Allow Remote Help to unenrolled devices, permette di fornire assistenza anche a dispositivi Windows o macOS che non risultano registrati in Microsoft Intune. In una configurazione aziendale standard è preferibile lasciare questa opzione disabilitata, in modo da limitare l’utilizzo di Remote Help ai dispositivi inclusi nel perimetro di gestione dell’azienda. L’ultima impostazione, Disable chat, consente di rimuovere la chat integrata nell’applicazione. La chat è abilitata per impostazione predefinita e può essere utile per scambiare brevi indicazioni durante la sessione; salvo requisiti aziendali specifici, può quindi essere mantenuta attiva. Una volta completata la configurazione, selezionare Save.

L’attivazione di una nuova licenza o di una versione trial potrebbe non essere immediata e la propagazione può richiedere da circa 30 minuti fino a diverse ore e, durante questo intervallo, l’applicazione potrebbe continuare a indicare che Remote Help non è ancora abilitato per il tenant.

Come distribuire l’app Remote Help

L’applicazione Remote Help deve essere installata sia sui dispositivi degli utenti che possono ricevere assistenza sia sulle postazioni utilizzate dagli operatori del supporto. Quando l’azienda dispone di Microsoft Intune Suite ed Enterprise App Management, la modalità più semplice consiste nell’utilizzare l’Enterprise App Catalog, che contiene un pacchetto Remote Help già preparato da Microsoft. A tal proposito, vi suggerisco di leggere le due guide dedicate Microsoft Intune Suite: funzionalità, attivazione e licensing e Enterprise App Management con Microsoft Intune, entrambe pubblicate su Endpoint Ninja.

Dal Microsoft Intune Admin Center selezionare Apps > All apps > Create, come tipologia scegliere Enterprise App Catalog app, cercare Remote Help e selezionare il pacchetto proposto. Dopo aver verificato le informazioni dell’applicazione, completare la procedura e assegnarla come Required ai gruppi di dispositivi interessati. L’assegnazione dovrebbe comprendere sia i computer degli utenti sia quelli utilizzati dal personale help desk. Microsoft raccomanda di distribuire Remote Help utilizzando gruppi di dispositivi anziché gruppi di utenti, in modo che il client venga installato direttamente sulle postazioni che devono partecipare alle sessioni.

Distribuzione di Remote Help come applicazione Win32

Quando Enterprise App Catalog non è disponibile, l’installer di Remote Help può essere scaricato dal portale Microsoft, convertito in formato .intunewin tramite Microsoft Win32 Content Prep Tool e distribuito come una normale applicazione Win32. Dopo aver rinominato il file in remotehelpinstaller.exe, il comando di installazione silenziosa da configurare in Intune è il seguente:

remotehelpinstaller.exe /quiet acceptTerms=1

Il comando di disinstallazione è invece:

remotehelpinstaller.exe /uninstall /quiet acceptTerms=1

I parametri acceptTerms ed enableAutoUpdates sono case-sensitive e devono quindi essere scritti esattamente come indicato.

Per la detection rule è possibile utilizzare una regola di tipo File, configurata con questi valori:

• Path: C:\Program Files\Remote Help

• File or folder: RemoteHelp.exe

• Detection method: String (version)

• Operator: Greater than or equal to

Come valore deve essere indicata la versione del pacchetto che si sta distribuendo. La versione installata può essere recuperata tramite PowerShell:

(Get-Item "$env:ProgramFiles\Remote Help\RemoteHelp.exe").VersionInfo.FileVersion

Remote Help abilita per impostazione predefinita gli aggiornamenti automatici, ed è consigliabile mantenere questo comportamento, a meno che l’azienda non abbia già previsto un processo per testare e distribuire periodicamente le nuove versioni attraverso Intune. Durante l’installazione viene verificata anche la presenza di Microsoft Edge WebView2 Runtime e se il componente non è disponibile sul dispositivo, viene installato automaticamente insieme all’applicazione.

Ruoli e permessi di Remote Help

Dopo aver abilitato il servizio e distribuito il client è necessario stabilire quali operatori possono fornire assistenza. Remote Help utilizza il modello RBAC di Microsoft Intune per controllare il livello di accesso disponibile durante una sessione. I permessi principali sono i seguenti:

Per utilizzare Remote Help, un operatore deve disporre della combinazione formata da Remote Tasks – Offer remote assistance, Remote Assistance Connector – Read e almeno uno dei permessi relativi a visualizzazione, controllo completo o elevazione. Il ruolo predefinito Help Desk Operator contiene tutte le autorizzazioni richieste, compresa la possibilità di interagire con i prompt UAC. Può essere utilizzato durante una fase iniziale di test, ma in produzione è preferibile creare ruoli personalizzati che concedano solamente le funzioni necessarie.

Per creare un nuovo ruolo accedere a Tenant administration > Roles > All roles > Create e selezionare Intune role. Un ruolo destinato agli operatori di primo livello potrebbe includere:

• Remote Help – View screen
  
• Remote Help – Take full control
  
• Remote Help – Elevation
  
• Remote Tasks – Offer remote assistance
  
• Remote Assistance Connector – Read
  

Il permesso Remote Help – Elevation può anche essere assegnato a un secondo ruolo, riservato agli operatori che devono eseguire installazioni, modificare configurazioni protette o svolgere altre attività che richiedono privilegi amministrativi.

Configurare gli scope group

La creazione del ruolo definisce che cosa può fare l’operatore, mentre l’assegnazione RBAC stabilisce su quali utenti o dispositivi può farlo. Nell’assegnazione devono essere configurati:

• l’Admin group, che contiene gli operatori ai quali viene assegnato il ruolo
  
• gli Scope groups, che contengono gli utenti o i dispositivi sui quali gli operatori possono intervenire
  

Se lo sharer o il dispositivo non rientra negli scope group associati al ruolo, l’helper non potrà fornire assistenza, anche se dispone dei permessi di visualizzazione o controllo completo. Gli scope group permettono quindi di separare il personale del supporto per sede, società, reparto oppure tipologia di dispositivo, evitando che ogni operatore possa raggiungere indistintamente l’intero tenant. A tal proposito, vi segnalo la guida Scope Tags in Microsoft Intune: configurazione e best practices pubblicata su ICT Power.

Demo: come avviare una sessione Remote Help

Per la demo utilizzeremo un dispositivo Windows 11 gestito da Microsoft Intune, un utente standard che richiede assistenza e un operatore appartenente al gruppo associato al ruolo Remote Help. L’applicazione è già installata su entrambe le postazioni e il dispositivo dell’utente dispone della Microsoft Intune Management Extension necessaria per ricevere l’avvio remoto.

Avviare Remote Help dal portale Intune

L’operatore accede al Microsoft Intune Admin Center e seleziona Devices > All devices, dall’elenco apre il dispositivo sul quale deve intervenire e, nella barra delle azioni, seleziona Remote actions > Begin a remote assistance session.

Dal wizard che si apre, come soluzione di assistenza di default sarà selezionato Remote Help; selezionare Continue per procedere. Intune invia una notifica al dispositivo e, dopo aver confermato il corretto invio, mette a disposizione il pulsante Launch Remote Help.

Quando la sessione viene avviata dal portale, l’operatore deve accedere all’app Remote Help utilizzando lo stesso account con cui ha aperto il Microsoft Intune Admin Center; utilizzare credenziali differenti impedirebbe di associare correttamente l’helper alla richiesta. Una volta effettuato l’accesso, se è il primo avvio dell’applicazione, potrebbe essere richiesta l’accettazione delle informazioni sulla privacy. Una volta effettuato i passaggi precedenti, l’helper può richiedere uno dei livelli di accesso consentiti dal proprio ruolo:

• con View screen (Visualizza la schemata), l’operatore può osservare lo schermo senza utilizzare mouse e tastiera, una modalità utile quando deve limitarsi a verificare un errore oppure guidare l’utente nell’esecuzione di una procedura
  
• con Take full control (Prendi il controllo completo), l’helper può invece interagire direttamente con il dispositivo, e lo sharer deve approvare esplicitamente la richiesta prima che il controllo venga concesso
  

Una sessione può iniziare in sola visualizzazione ed essere successivamente convertita in controllo completo. Anche in questo caso l’utente riceverà una nuova richiesta e dovrà autorizzare il cambio di modalità. Durante la connessione, helper e sharer possono utilizzare la chat integrata. Se il dispositivo non rispetta le compliance policy assegnate, Remote Help mostra inoltre un avviso all’operatore, senza interrompere automaticamente la sessione.

Accettare la richiesta sul dispositivo

Sul computer dello sharer viene mostrata una notifica che invita l’utente ad aprire Remote Help.

Se Windows è configurato in modalità Non disturbare, la notifica potrebbe essere visibile solamente all’interno del centro notifiche; in questo caso l’applicazione può essere aperta anche manualmente. Prima di consentire l’accesso, lo sharer visualizza nome, azienda, ruolo, immagine del profilo e dominio verificato dell’helper, e le stesse informazioni relative all’utente vengono mostrate all’operatore. Questo passaggio permette a entrambe le persone di verificare l’identità dell’altra parte prima dell’avvio della sessione e riduce il rischio che un utente accetti richieste di assistenza non attese.

Nel messaggio sarà possibile selezionare Consenti per consentire l’accesso all’operatore, oppure Rifiuta per annullare la procedura.

Gestire i prompt UAC con Remote Help

Quando l’helper dispone del permesso Remote Help – Elevation, può visualizzare e interagire con i prompt User Account Control mostrati sul dispositivo remoto. Questa funzione è utile quando l’utente lavora con un account standard e l’operatore deve installare un’applicazione, avviare uno strumento amministrativo oppure modificare una configurazione protetta. Il permesso Elevation non assegna automaticamente privilegi amministrativi all’helper, ma gli permette di visualizzare il prompt UAC e inserire credenziali amministrative valide direttamente nella sessione. Le password non devono quindi essere comunicate allo sharer o inserite dall’utente.

Proprio per l’impatto che può avere sul dispositivo, l’elevazione dovrebbe essere concessa solamente agli operatori che ne hanno effettivamente bisogno.

Terminare la sessione

La connessione può essere chiusa sia dall’helper sia dallo sharer selezionando Leave (Abbandona). Quando durante la sessione sono state eseguite attività elevate e lo sharer decide di interrompere il collegamento, Remote Help può richiedere la disconnessione dell’utente per chiudere correttamente il contesto amministrativo utilizzato.

Avviare Remote Help tramite codice

La sessione può essere avviata anche senza selezionare preventivamente il dispositivo nel portale Intune. L’helper apre l’app Remote Help, accede con il proprio account aziendale e seleziona l’opzione per ottenere un codice di sicurezza.

Il codice temporaneo viene quindi comunicato allo sharer attraverso il canale utilizzato per la richiesta di supporto. L’utente apre Remote Help sul proprio dispositivo, esegue l’accesso e inserisce il codice ricevuto.

Dopo l’associazione, helper e sharer visualizzano le rispettive identità e possono proseguire con la richiesta di visualizzazione o controllo completo, esattamente come visto in precedenza per la richiesta di controllo remoto effettuata tramite Microsoft Intune. Questa modalità è utile quando la notifica inviata da Intune non viene ricevuta, ma anche nei processi in cui l’utente contatta direttamente l’help desk e rimane in comunicazione con l’operatore durante l’apertura della sessione.

Best practice per Remote Help

Una configurazione corretta di Remote Help non dipende soltanto dall’attivazione del servizio, ma soprattutto da come vengono gestiti ruoli, permessi e perimetro operativo. In questo capitolo vedremo alcune accortezze che permettono di ridurre i rischi e rendere l’assistenza remota più semplice da governare.

Applicare il principio del privilegio minimo

Non tutti gli operatori devono poter ottenere il controllo completo o gestire le richieste UAC. La configurazione più corretta consiste nel creare ruoli personalizzati e assegnare a ciascun livello di supporto solamente le autorizzazioni richieste dalle attività effettivamente svolte. Gli operatori di primo livello possono essere limitati alla visualizzazione o al controllo completo, mentre l’elevazione può essere riservata al personale di secondo livello.

Limitare il perimetro attraverso gli scope group

Un ruolo Remote Help non dovrebbe essere assegnato automaticamente all’intero tenant. Gli scope group permettono di limitare il supporto a una sede, un reparto, una società o una determinata categoria di dispositivi. La separazione riduce il rischio di accessi non necessari e rende più chiaro il perimetro di responsabilità di ogni gruppo di supporto.

Mantenere disabilitato il supporto ai dispositivi non gestiti

L’opzione Allow Remote Help to unenrolled devices dovrebbe essere abilitata solamente in presenza di un requisito preciso. Limitare Remote Help ai dispositivi registrati in Intune permette all’operatore di lavorare all’interno di un perimetro conosciuto e di disporre delle informazioni relative alla gestione e alla conformità del device.

Iniziare dalla sola visualizzazione

Quando il problema può essere analizzato osservando il comportamento del dispositivo, la sessione dovrebbe iniziare in modalità View screen. Il controllo completo può essere richiesto in un secondo momento, soltanto se necessario. Questo approccio mantiene maggiormente coinvolto l’utente e riduce l’impatto della sessione sulla sua attività.

Associare ogni sessione a una richiesta di supporto

L’utente dovrebbe ricevere una richiesta Remote Help solamente dopo aver aperto un ticket o aver stabilito un contatto con il personale IT. Nel ticket è opportuno indicare l’operatore coinvolto, il dispositivo interessato e le attività eseguite durante la sessione, soprattutto quando è stato necessario utilizzare privilegi amministrativi.

Non condividere credenziali nella chat

La chat di Remote Help può essere utilizzata per inviare istruzioni, percorsi o brevi comandi, ma non deve diventare un canale per la trasmissione di password, codici MFA, token o altre informazioni riservate. Quando è necessaria un’elevazione, le credenziali amministrative devono essere inserite direttamente dall’helper nel prompt UAC.

Mantenere aggiornata l’applicazione

Microsoft aggiorna periodicamente Remote Help e può rendere obbligatorio l’utilizzo di una versione più recente, è quindi consigliabile lasciare attivi gli aggiornamenti automatici oppure predisporre un processo Intune che verifichi, testi e distribuisca regolarmente le nuove versioni del client.

Eseguire una distribuzione pilota

Prima di assegnare Remote Help a tutti i dispositivi è opportuno completare un pilot con un gruppo ristretto di utenti e operatori. La fase pilota permette di verificare la distribuzione dell’applicazione, la ricezione delle notifiche, il corretto funzionamento dei ruoli RBAC, gli scope group e la gestione dei prompt UAC, individuando eventuali problemi di rete o autorizzazione prima dell’introduzione generale del servizio.

Conclusioni

Remote Help permette di integrare l’assistenza remota nel modello di gestione già utilizzato da Microsoft Intune, evitando che l’accesso ai dispositivi dipenda esclusivamente dalla conoscenza di un codice o dall’installazione di un’applicazione di controllo remoto. Le identità Microsoft Entra ID permettono di riconoscere helper e sharer, mentre i ruoli RBAC e gli scope group stabiliscono quali operatori possono fornire assistenza, quale livello di accesso possono richiedere e su quali dispositivi possono intervenire.

La configurazione tecnica di Remote Help è relativamente semplice: bisogna abilitare il servizio, distribuire il client, creare i ruoli e assegnarli ai gruppi corretti. La parte più importante rimane però la progettazione delle autorizzazioni, perché assegnare indistintamente controllo completo ed elevazione a tutto il personale help desk ridurrebbe gran parte dei vantaggi offerti dall’integrazione con Intune. Separando i ruoli, limitando il perimetro attraverso gli scope group e mantenendo il servizio circoscritto ai dispositivi gestiti, Remote Help può diventare uno strumento di assistenza remoto semplice da usare per gli operatori, riconoscibile per gli utenti e coerente con il modello di amministrazione adottato dall’azienda.