Plannen voor Externe hulp met Microsoft Intune

Externe hulp is een cloudoplossing voor beveiligde helpdeskverbindingen met op rollen gebaseerde toegangsbeheer. Met de verbinding kan uw ondersteuningsmedewerker op afstand verbinding maken met het apparaat van de gebruiker. Zie Externe hulp Overzicht voor meer informatie. Als u Externe hulp functies wilt gaan gebruiken, moet u ervoor zorgen dat u aan de vereisten voldoet.

In dit artikel worden gebruikers die hulp bieden , helpers genoemd en gebruikers die hulp ontvangen, worden aangeduid als sharers, omdat ze hun sessie delen met de helper. Zowel helpers als sharers melden zich aan bij uw organisatie om de app te gebruiken. Het is via uw Microsoft Entra ID dat de juiste vertrouwensrelaties tot stand worden gebracht voor de Externe hulp sessies.

Externe hulp gebruikt Intune op rollen gebaseerde toegangsbeheer (RBAC) om het toegangsniveau in te stellen dat een helper is toegestaan. Via RBAC bepaalt u welke gebruikers hulp kunnen bieden en welk niveau van hulp ze kunnen bieden.

Controlelijst voor planning

Volg deze controlelijst om uw planningsproces te stroomlijnen.

• Ondersteuning voor platforms en apparaten
• Taalondersteuning
• Tenantconfiguratie
• Voorwaardelijke toegang
• Op rollen gebaseerd toegangsbeheer (RBAC)
• Overwegingen bij het netwerk
• Vereisten
• Beperkingen
• Bekende problemen
• Ingeschreven en of niet-ingeschreven apparaten

Planningsoverwegingen

Gebruik deze overwegingen om uw organisatie voor te bereiden op Externe hulp.

• Minimale bevoegdheden afdwingen: alleen de minimale Externe hulp machtigingen verlenen die nodig zijn voor elke ondersteuningsrol. Gebruik indien nodig aangepaste Intune-rollen om te beperken wie volledige controle kan overnemen of sessies zonder toezicht kan uitvoeren. Zo krijgt ondersteuning op niveau 1 mogelijk rechten voor alleen-weergeven, terwijl laag 2 volledige beheerrechten krijgt. Dit principe helpt de privacy van gebruikers en apparaatintegriteit te beschermen.

• Voorwaardelijke toegang gebruiken voor helpers: omdat helpers verhoogde toegang hebben tot gebruikersapparaten, voegt u een extra beveiligingslaag toe. Het wordt ten zeerste aanbevolen om MFA of compatibele apparaatstatus te vereisen voor helper-accounts via voorwaardelijke toegang. Deze maatregelen zorgen ervoor dat een gecompromitteerd helperaccount niet eenvoudig kan worden gebruikt om kwaadwillend toegang te krijgen tot apparaten. Entra id-beleid voor voorwaardelijke toegang voor Externe hulp wordt alleen ondersteund in Windows en macOS.

• Ondersteuning voor niet-ingeschreven apparaten alleen inschakelen als dat nodig is: het toestaan van Externe hulp op niet-ingeschreven apparaten (Entra alleen geregistreerd) is handig voor het ondersteunen van persoonlijke apparaten, maar er is minder toezicht (geen informatie over apparaatcompatibiliteit of beperkte controlegegevens). Schakel deze functie zorgvuldig in en overweeg te beperken welke ondersteuningsmedewerkers niet-ingeschreven apparaten kunnen helpen (mogelijk via afzonderlijke rollen).

• Netwerk en firewall: controleer of het bedrijfsnetwerkbeleid geen invloed heeft op Externe hulp. De app communiceert via poort 443 met Azure cloudeindpunten. Als uw gebruikers zich op een bedrijfsnetwerk bevinden, controleert u of de proxy- of SSL-inspectie de verbinding niet verbreekt. Als uw proxyservers SSL-inspectie gebruiken, moeten de domeinen die worden vermeld voor Externe hulp worden uitgesloten om problemen te voorkomen. Zie Netwerkeindpunten voor Externe hulp voor meer informatie.

• Ondersteuning voor Government Cloud is verminderd: Externe hulp wordt ondersteund in GCC-omgevingen (Government Community Cloud), behalve in Azure AVD (Virtual Desktop). Externe hulp wordt niet ondersteund op GCC High- of DoD-tenants (U.S. Department of Defense). Ga voor meer informatie naar Microsoft Intune voor GCC High en DoD-servicebeschrijving van de Amerikaanse overheid.

• Externe hulp sharers, helpers en apparaten moeten zich in dezelfde tenant bevinden: voor de integratie van Externe hulp met nalevingsbeleid en op rollen gebaseerd toegangsbeheer (RBAC) moeten alle deelnemers zich in dezelfde tenant bevinden.

  Opmerking

  Dit kan van invloed zijn op uitbestede helpdeskscenario's waarbij helpdeskbeheerders in meerdere tenants werken. Overweeg een scenario waarin het apparaat van uw gebruiker (deelrs) deel uitmaakt van tenant A, maar het apparaat van de helper behoort tot tenant B (in het geval dat ze een apparaat gebruiken dat is uitgegeven door hun uitbestedingsorganisatie). Als tijdelijke oplossing kunt u overwegen om apparaten die zijn gekoppeld aan uw tenant A aan de helpdesk te leveren of deze toegang te bieden tot Windows 365- of AVD-apparaten die zijn gekoppeld aan tenant A.

• Combineren met Endpoint Analytics: gebruik de gegevens uit Externe hulp sessies om veelvoorkomende problemen te identificeren. Als in veel sessies bijvoorbeeld waarschuwingen voor naleving worden weergegeven, kunt u het nalevingsbeleid voor uw apparaten verbeteren. de auditlogboeken van Externe hulp in combinatie met endpoint analytics van Intune kunnen inzicht geven in ondersteuningstrends (zoals vaak problematische apps of beleidsregels).

• Houd de Externe hulp apps up-to-date: nieuwe versies van Windows en Mac brengen verbeteringen en vereiste oplossingen met zich mee. Microsoft kan upgrades afdwingen voor oudere versies. Gebruik autoupdate op beide platforms (Windows Update, Mac via Microsoft AutoUpdate) of push regelmatig het nieuwste pakket via Intune na het testen. Voor Android komen updates automatisch via de Play Store als u de app hebt goedgekeurd. Controleer of apparaten de nieuwste versie krijgen tijdens uw normale onderhoudsvensters.

• Privacy en naleving plannen: Externe hulp kunnen vragen over privacy rijzen. Verzeker belanghebbenden dat Externe hulp toestemming van de gebruiker vereist of in het geval van Android-Externe hulp, duidelijk aangeeft dat een externe sessie actief is. Alle sessies zijn consensueel en zichtbaar aangegeven op het scherm van de gebruiker. Er worden geen sessie-opnamen opgeslagen in de service. Deze punten kunnen worden opgenomen in uw interne IT-beleid of gebruikershandleidingen om problemen op te lossen. Toegang zonder toezicht op Android moet spaarzaam worden gebruikt.

• Implementatie in fasen: implementeer indien mogelijk Externe hulp in een testfase. Begin met IT of een kleine afdeling om eventuele problemen op te lossen. Verzamel feedback van helpers en gebruikers. Zodra u vertrouwen hebt, kunt u uitbreiden naar de hele organisatie. Een gefaseerde aanpak kan voorkomen dat de helpdesk overstelpt wordt met onverwachte technische problemen.

Helper- en clientmodi

Externe hulp clients ondersteunen verschillende modi op basis van de combinatie van de helper-app en de sharer-app. Windows, macOS en Android hebben Externe hulp apps die kunnen worden geïnstalleerd die de functionaliteit verbeteren. Externe hulp-apps worden soms een systeemeigen app genoemd. Externe hulp ondersteunt ook delen vanaf apparaten met beperkte mogelijkheden vanuit een web-app.

Dit zijn de verschillende modi:

• Alleen weergeven: aanvraagweergave van het externe scherm. Om het effect op de privacy van eindgebruikers te minimaliseren, wordt deze optie aanbevolen, tenzij volledige controle nodig is.

• Volledig beheer aanvragen: volledige controle over het externe apparaat aanvragen.

• Uitbreiding: hiermee kunnen helpers referenties voor gebruikersaccountbeheer (UAC) invoeren wanneer hierom wordt gevraagd op het apparaat van de sharer. Als u uitbreidingsverhoging inschakelt, kan de helper ook het apparaat van de sharer weergeven en beheren wanneer de sharer de helper toegang verleent.

• Zonder toezicht: volledige controle over het apparaat zonder de aanwezigheid van een eindgebruiker.

In deze tabel ziet u de modusondersteuning per helper-app en sharer-app.

Zie Externe hulp implementeren voor meer informatie over het implementeren van de Externe hulp-apps.

Verificatie en machtigingen

Zowel helpers als sharers melden zich aan bij uw organisatie met behulp van Microsoft Entra ID, waardoor de juiste vertrouwensrelaties tot stand worden gebracht voor de Externe hulp sessies.

Externe hulp gebruikt Intune op rollen gebaseerde toegangsbeheer (RBAC) om het toegangsniveau in te stellen dat een helper is toegestaan. Via RBAC bepalen tenantbeheerders welke gebruikers hulp kunnen bieden en welk niveau van hulp ze kunnen bieden.

Op rollen gebaseerd toegangsbeheer (RBAC)

Als u Externe hulp wilt gebruiken, moeten helpers de juiste RBAC-machtigingen (op rollen gebaseerd toegangsbeheer) hebben toegewezen aan hun gebruikersaccount. De volgende tabel bevat de beschikbare machtigingen voor Externe hulp en de bijbehorende beschrijvingen.

De volgende Intune ingebouwde rollen omvatten Externe hulp machtigingen:

• Helpdeskoperator (scherm weergeven, volledige controle overnemen, uitbreiding, zonder toezicht, externe taken - Hulp op afstand aanbieden, Connector voor hulp op afstand - Lezen)
• Schoolbeheerder (scherm weergeven, volledige controle overnemen, uitbreiding van taken op afstand - Hulp op afstand aanbieden, Connector voor hulp op afstand - lezen)

Vereisten

Externe hulp heeft de volgende vereisten:

• Intune abonnement.
• Externe hulp een licentie of een Intune Suite-licentie toevoegen voor alle IT-ondersteuningsmedewerkers (helpers) en gebruikers (sharers) die zijn bedoeld om Externe hulp te gebruiken en te profiteren van de service.
• Ondersteunde platforms en apparaten.
• Intune ingeschreven apparaten moeten zijn geregistreerd bij Microsoft Entra.

Beperkingen

Externe hulp heeft de volgende beperkingen:

• U kunt geen Externe hulp sessie van de ene tenant naar een andere tenant instellen.
• Externe hulp is mogelijk niet in alle markten of lokalisaties beschikbaar.
• Externe hulp wordt ondersteund in GCC-omgevingen (Government Community Cloud) op de volgende platformen:
  • Windows
  • Windows op ARM64-apparaten
  • Windows 365
  • Samsung- en Zebra-apparaten die zijn ingeschreven als toegewezen Android Enterprise-apparaten
  • macOS 13, 14 en 15
• Externe hulp wordt niet ondersteund op GCC High- of DoD-tenants (U.S. Department of Defense). Ga voor meer informatie naar Microsoft Intune voor GCC High en DoD-servicebeschrijving van de Amerikaanse overheid.

Ondersteunde platformen

Elk platform heeft specifieke vereisten en mogelijkheden.

Overwegingen bij het netwerk

Zowel de helper als de sharer moeten specifieke eindpunten kunnen bereiken via poort 443. Zie Netwerkeindpunten voor Externe hulp voor meer informatie.

Externe hulp communiceert via poort 443 (https) en maakt verbinding met de Remote Assistance Service op https://remotehelp.microsoft.com met behulp van het Extern bureaublad Protocol (RDP). Het verkeer wordt versleuteld met TLS 1.2.

Vereisten als Externe hulp is beperkt tot ingeschreven apparaten

Als uw organisatie Externe hulp beperkt tot alleen ingeschreven apparaten, zijn er extra vereisten.

Ondersteunde talen voor chat

Externe hulp met chat aan wordt ondersteund in de volgende talen:

Gegevens en privacy

Microsoft registreert een kleine hoeveelheid sessiegegevens om de status van het Externe hulp systeem te bewaken. Deze gegevens bevatten de volgende informatie:

• Begin- en eindtijd van de sessie. Deze informatie wordt 30 dagen opgeslagen op Microsoft-servers.
• Wie heeft wie geholpen en op welk apparaat. Deze informatie wordt 30 dagen opgeslagen op Microsoft-servers.
• Fouten die optreden als gevolg van Externe hulp zelf, zoals onverwachte verbroken verbindingen. Deze informatie wordt opgeslagen op het apparaat van de sharer in de logboeken.
• Functies die in de app worden gebruikt, zoals alleen weergave en uitbreiding. Deze informatie wordt 30 dagen opgeslagen op Microsoft-servers.

Externe hulp registreert sessiedetails in de Windows-gebeurtenislogboeken op het apparaat van zowel de helper als de sharer. Microsoft heeft geen toegang tot een sessie en kan geen acties of toetsaanslagen weergeven die in de sessie plaatsvinden.

De helper en de sharer zien de volgende informatie over de andere persoon, afkomstig uit hun organisatieprofielen:

• Profielafbeelding van hun organisatie (indien aanwezig)
• Bedrijfsnaam
• Domein geverifieerd
• Voor- en achternaam
• Functietitel

Microsoft slaat geen gegevens over de sharer of de helper langer dan 30 dagen op.

Volgende stappen