Když zaměstnanec potřebuje pomoc s počítačem, technik se k němu většinou připojí na dálku. Jenže stejný postup používají i podvodníci: zavolají, představí se jako „IT podpora” a nechají si nadiktovat kód. Microsoft Intune Remote Help tento problém řeší – připojit se může jen ověřený člen vaší firmy s přidělenou rolí a každá relace se zapíše do přehledu. V tomto článku vysvětlíme, co Remote Help v Intune umí, kolik stojí, jak ho nastavit a jak ho zavést tak, aby nahradil roztříštěné nástroje typu TeamViewer, AnyDesk nebo Rychlý pomocník.

Co je Remote Help v Intune

Remote Help je cloudová služba Microsoftu pro vzdálenou podporu uživatelů, která je přímo napojená na Microsoft Intune a Microsoft Entra ID. Technik (v terminologii Microsoftu pomocník) se připojí k obrazovce zaměstnance (sdílejícího), vidí jeho plochu, může převzít ovládání a vyřešit problém. Až potud se to podobá jakémukoli jinému nástroji pro vzdálenou plochu.

Zásadní rozdíl je v identitě. Podle dokumentace Microsoftu k Remote Help se pomocník i sdílející musí při každé relaci přihlásit firemním účtem Entra ID ze stejné organizace. Cizí člověk z jiného tenantu se tedy k vašim zaměstnancům nepřipojí, ani když mu někdo nadiktuje kód. Zaměstnanec navíc před povolením přístupu vidí jméno a firmu technika, takže ví, komu obrazovku pouští.

Co Remote Help nabízí:

• Ověřená identita na obou stranách – žádné anonymní ID a hesla relace, jen firemní účty.
• Řízení přístupu podle rolí (RBAC) – určíte, kdo smí jen sledovat obrazovku, kdo převzít ovládání a kdo zadávat administrátorské údaje.
• Upozornění na nevyhovující zařízení – technik ještě před připojením vidí, že zařízení nesplňuje firemní zásady.
• Přehled a audit relací – v Intune zjistíte, kdo komu pomáhal, na jakém zařízení a jak dlouho.
• Elevace – technik může zadat přihlašovací údaje do dialogu UAC, aniž by uživatel musel být správcem počítače.
• Spuštění z Intune – technik pošle zaměstnanci notifikaci přímo z konzole Intune, nikdo nemusí diktovat kódy.
• Chat v relaci a podpora pro Windows, macOS i Android.

Proč nestačí TeamViewer, AnyDesk nebo Rychlý pomocník

Většina malých firem má vzdálenou podporu vyřešenou „nějak”: jeden technik používá TeamViewer, druhý AnyDesk, dodavatel účetního programu si nainstaloval vlastní nástroj a ve Windows je k tomu předinstalovaný Rychlý pomocník (Quick Assist). Každý z těchto programů je potenciální vstupní brána do firmy.

Nejde o teoretické riziko. Microsoft v roce 2024 popsal kampaň skupiny Storm-1811, která zneužívala Rychlého pomocníka k sociálnímu inženýrství a následnému nasazení ransomwaru. Útočníci nejdřív zahltili oběť spamem, pak zavolali jako „IT podpora, která problém vyřeší” a nechali si udělit vzdálený přístup. Americká agentura CISA podobně varuje před zneužíváním legitimních nástrojů pro vzdálenou správu a ve svém průvodci zabezpečením softwaru pro vzdálený přístup doporučuje mít ve firmě jeden schválený nástroj a ostatní blokovat.

Remote Help tyto slabiny odstraňuje:

• Útočník zvenčí se nepřipojí – nemá firemní účet, takže mu nadiktovaný kód k ničemu není.
• Přístup lze vázat na MFA a podmíněný přístup – technik bez druhého faktoru nebo z neschváleného zařízení relaci nespustí.
• Odchod technika řeší jedno kliknutí – zakážete účet v Entra ID a přístup ke všem počítačům končí. U sdílených licencí TeamVieweru to tak jednoduché není.
• Máte záznam – při incidentu dohledáte, kdo se kdy k jakému počítači připojil.

Více o tom, jak útočníci zneužívají důvěru zaměstnanců, najdete v článku o sociálním inženýrství a ochraně firmy.

Licence: kolik Remote Help stojí

Remote Help patří mezi pokročilé funkce Intune a není součástí běžného Microsoft 365 Business Premium. Získat ho můžete třemi způsoby:

• samostatný doplněk Remote Help – licence na každého technika i zaměstnance, kterému se pomáhá,
• Microsoft Intune Suite – balík pokročilých funkcí (mimo jiné Endpoint Privilege Management a Remote Help),
• vybrané balíčky Microsoft 365 – Microsoft postupně přesouvá pokročilé funkce Intune do vyšších plánů Enterprise.

Aktuální přehled najdete v článku Microsoftu o doplňcích a pokročilých funkcích Intune. Remote Help si můžete nejdřív zdarma vyzkoušet – zkušební verzi spustíte v Centru pro správu Microsoft 365. Po skončení zkušební doby následuje 30denní lhůta, než funkce z konzole zmizí.

Vyplatí se to? U firmy s 15 zaměstnanci vychází doplněk řádově na stejnou částku jako komerční licence TeamVieweru, jenže přidává ověřenou identitu, role a audit napojený na zbytek Microsoft 365. Pokud už platíte Business Premium a Intune používáte, je Remote Help logickým dalším krokem.

Co potřebujete před nasazením

• Microsoft Intune (Plan 1 je součástí Business Premium, E3 i E5) a licence Remote Help pro techniky i uživatele.
• Zařízení zaregistrovaná v Intune – Windows 10/11, macOS nebo Android. Pomoc nezaregistrovaným zařízením jde zapnout, ale doporučujeme ji nechat vypnutou.
• Funkční nasazování aplikací – aplikaci Remote Help budete distribuovat přes Intune. Pokud to zatím neděláte, začněte článkem o nasazení aplikací přes Microsoft Intune.
• Jasně určené techniky – kdo ve firmě (nebo u externího správce) smí pomáhat a s jakými oprávněními.

Nastavení Remote Help v Intune krok za krokem

Celé nastavení zvládnete v Centru pro správu Microsoft Intune za jedno odpoledne. Postupujte v tomto pořadí.

Krok 1: Zapnutí Remote Help v tenantu

Remote Help je ve výchozím stavu vypnutý. Otevřete Správa tenanta › Remote Help › Nastavení a klikněte na Konfigurovat:

• Povolit Remote Help – Povoleno.
• Povolit Remote Help pro nezaregistrovaná zařízení – Zakázáno. Pomoc tak poskytnete jen spravovaným firemním zařízením, u kterých máte kompletní audit.
• Zakázat chat – Ne. Chat se hodí, když uživatel nemůže mluvit nahlas.

Krok 2: Role a oprávnění pro techniky

Tady se rozhoduje o bezpečnosti celého řešení. V části Správa tenanta › Role vytvořte vlastní roli (například „Helpdesk – Remote Help”) a v kategorii aplikace Remote Help nastavte oprávnění:

• Zobrazit obrazovku – technik vidí plochu, ale nic neovládá. Stačí pro navigaci uživatele.
• Převzít plné ovládání – technik ovládá myš a klávesnici. Přidělte běžným technikům.
• Elevace – technik může zadat administrátorské údaje do dialogu UAC. Přidělte jen zkušeným správcům.
• Bezobslužné ovládání – připojení bez přítomnosti uživatele. U malé firmy obvykle nepotřebujete, nechte vypnuté.

Roli přiřaďte skupině techniků a rozsah omezte na skupiny zařízení, o které se starají. Elevace dává smysl hlavně tam, kde jste už odebrali zaměstnancům lokální administrátorská práva – technik pak instalaci nebo změnu nastavení potvrdí sám, bez sdílení hesel.

Krok 3: Nasazení aplikace Remote Help

Aplikace musí být nainstalovaná u technika i u zaměstnance. Na Windows ji stáhnete od Microsoftu jako instalátor remotehelpinstaller.exe, zabalíte do formátu .intunewin a nasadíte jako aplikaci Win32 s tichou instalací (parametry /quiet acceptTerms=1). Přiřaďte ji jako povinnou všem firemním počítačům. Na macOS ji nasadíte jako balíček a na Androidu ze spravovaného Google Play.

Aplikace se aktualizuje sama. Pokud používáte App Control for Business, bude díky spravovanému instalátoru z Intune automaticky povolená.

Krok 4: Podmíněný přístup a MFA pro techniky

Remote Help podporuje zásady podmíněného přístupu v Microsoft Entra ID. Vytvořte zásadu, která pro cloudovou aplikaci Remote Assistance Service vyžaduje u skupiny techniků vícefaktorové ověření odolné proti phishingu a vyhovující zařízení. Tím zajistíte, že ani ukradené heslo technika útočníkovi přístup k počítačům ve firmě nedá.

Krok 5: Odstranění ostatních nástrojů

Remote Help přinese bezpečnost jen tehdy, když bude jedinou cestou. Proto:

• Přes Intune odinstalujte Rychlého pomocníka (aplikace z Microsoft Store) a další nástroje pro vzdálený přístup.
• Pokud používáte App Control for Business, přidejte pravidla, která TeamViewer, AnyDesk a podobné nástroje blokují.
• Zkontrolujte, jestli si dodavatelé oborových programů nenechali na počítačích vlastní nástroje s trvalým přístupem. Domluvte s nimi jiný postup.
• Zaměstnancům jasně řekněte: firemní IT podpora se připojuje jen přes Remote Help. Kdo vás požádá o jiný program, je podvodník.

Jak probíhá relace v praxi

Pro zaměstnance je používání jednoduché. Typická relace vypadá takto:

1. Technik otevře zařízení v Centru pro správu Intune a zvolí Nová relace vzdálené pomoci. Případně si v aplikaci vygeneruje bezpečnostní kód, který zaměstnanci sdělí po telefonu nebo v Teams. Kód má omezenou platnost.
2. Zaměstnanci se zobrazí notifikace, spustí Remote Help a přihlásí se firemním účtem.
3. Zaměstnanec vidí jméno a firmu technika a rozhodne, jestli povolí jen zobrazení obrazovky, nebo i plné ovládání.
4. Technik problém vyřeší, případně při dialogu UAC zadá své administrátorské údaje.
5. Kterákoli strana může relaci kdykoli ukončit. Záznam se uloží do přehledu relací v Intune.

Pokud technik používá k řešení problémů i vzdálenou plochu na servery, přečtěte si také článek o bezpečném používání vzdálené plochy (RDP) ve firmě.

Monitoring a audit relací

V části Správa tenanta › Remote Help najdete přehled aktivních i ukončených relací: kdo pomáhal, komu, na jakém zařízení, kdy a jak dlouho. Další záznamy jsou v Správa tenanta › Protokoly auditu. Doporučujeme jednou měsíčně projít:

• relace mimo pracovní dobu,
• relace techniků, kteří už by neměli mít přístup (například bývalý dodavatel),
• neobvykle dlouhé relace a časté použití elevace,
• připojení k zařízením, která nesplňovala zásady dodržování předpisů.

Pro externího správce IT je tento přehled užitečný i obchodně – zákazník přesně vidí, kolik času technici na jeho počítačích strávili.

Nejčastější chyby při zavádění

• Elevace pro všechny techniky – oprávnění zadávat administrátorské údaje dávejte jen těm, kdo ho opravdu potřebují.
• Zapnutá pomoc nezaregistrovaným zařízením – otevírá cestu k soukromým počítačům bez auditu a kontroly zásad.
• Remote Help vedle TeamVieweru – dokud ostatní nástroje běží, útočník má pořád alternativní cestu.
• Bez komunikace se zaměstnanci – lidé musí vědět, jak legitimní podpora vypadá, jinak na podvodný telefonát naletí stejně.
• Technici bez MFA – účet s oprávněním ovládat všechny počítače ve firmě je pro útočníka nejcennější cíl.

Kolik práce to zabere a kdy si přizvat pomoc

U firmy s 10 až 30 počítači v Intune trvá samotné nastavení (role, aplikace, podmíněný přístup) dvě až čtyři hodiny. Další čas zabere úklid starých nástrojů a domluva s dodavateli oborového softwaru. Doporučujeme začít pilotem na dvou až třech uživatelích a po týdnu rozšířit na celou firmu.

Zvažujete, jestli vzdálenou podporu řešit interně, nebo přes externího správce? Pomůže vám článek IT podpora na dálku vs. na místě. Pokud chcete Remote Help nastavit bez experimentování na ostrém provozu, rádi to uděláme v rámci správy IT pro firmy – včetně rolí, podmíněného přístupu a odstranění starých nástrojů.

Často kladené otázky

Je Remote Help součástí Microsoft 365 Business Premium?

Ne. Business Premium obsahuje Intune Plan 1, ale Remote Help je pokročilá funkce, kterou získáte jako samostatný doplněk, v Intune Suite nebo ve vybraných balíčcích Microsoft 365. Před nákupem si ji můžete zdarma vyzkoušet.

Můžu přes Remote Help pomoct zákazníkovi nebo dodavateli?

Ne. Pomocník i sdílející se musí přihlásit účtem ze stejné organizace v Microsoft Entra ID. Remote Help je určený výhradně pro interní podporu vlastních zaměstnanců.

Jaký je rozdíl mezi Remote Help a Rychlým pomocníkem?

Rychlý pomocník (Quick Assist) je zdarma, ale připojit se může kdokoli s účtem Microsoft, kterému uživatel sdělí kód. Remote Help vyžaduje firemní účty, role, podmíněný přístup a ukládá audit relací.

Funguje Remote Help i na Macu a Androidu?

Ano. Remote Help podporuje Windows, macOS a Android. Na Macu může zaměstnanec, který nemá nainstalovanou aplikaci, sdílet obrazovku i přes webovou aplikaci – technik pak obrazovku jen vidí a uživatele navádí.

Může se technik připojit, když zaměstnanec není u počítače?

Ano, Remote Help umožňuje bezobslužné ovládání firemních zařízení spravovaných v Intune. Vyžaduje ale samostatné oprávnění v roli a u malé firmy doporučujeme ho povolit jen správcům, kteří ho skutečně potřebují.

Shrnutí

Remote Help v Intune je bezpečná náhrada za TeamViewer, AnyDesk a Rychlého pomocníka. Připojit se může jen ověřený technik z vaší firmy, s oprávněními podle role, s vícefaktorovým ověřením a se záznamem každé relace. Zapněte ho v tenantu, nastavte role, nasaďte aplikaci, chraňte techniky podmíněným přístupem a odstraňte ostatní nástroje. Podvodný telefonát „od IT podpory” pak útočníkovi nic nepřinese. Chcete s nasazením pomoci? Ozvěte se nám a domluvíme nastavení pro vaši firmu.