Bezobslužná podpora Windows cez Intune: čo overiť pred zapnutím

Čo sa v Intune Remote Help zmenilo

Microsoft 25. augusta 2026 oznámil bezobslužnú podporu fyzických Windows zariadení s prihlásením na diaľku. Oprávnený pracovník podpory sa môže pripojiť aj bez prítomnosti používateľa a pracovať v samostatnej relácii, zatiaľ čo existujúca používateľská relácia zostáva uzamknutá. Pre servis pobočky, zdieľaného počítača alebo zariadenia, ktoré treba opraviť mimo pracovného času, to môže skrátiť čakanie na zásah. Nejde však o univerzálne vzdialené ovládanie každého počítača. 

Podľa plánovacej dokumentácie Microsoftu je bezobslužný režim určený pre fyzické, firemné a v Intune spravované zariadenia Windows s procesorovou platformou x64, ktoré sú pripojené k Microsoft Entra ID alebo hybridne pripojené. Virtuálne stroje, Windows 365, Azure Virtual Desktop, osobné zariadenia a BYOD do tohto režimu nepatria.

Kedy má funkcia pre firmu reálny prínos

Bezobslužný prístup dáva najväčší zmysel tam, kde je výpadok drahší než čak

anie na používateľa a kde firma vie presne určiť, kto smie zásah vykonať. Typickým príkladom sú počítače na pobočkách bez lokálneho IT, zdieľané prevádzkové stanice alebo plánovaná údržba po pracovnom čase.

Ak pracovník podpory rieši najmä bežné otázky používateľov počas pracovného dňa, bezpečnejšou predvolenou voľbou zostáva asistovaná relácia so súhlasom používateľa. Bezobslužný režim by mal byť osobitná schopnosť pre konkrétne scenáre, nie plošné oprávnenie pre celý helpdesk.

Prečo nestačí funkciu iba zapnúť

Možnosť vstúpiť do firemného zariadenia bez aktívnej účasti používateľa je privilegovaný prístup. Microsoft preto pre Windows používa samostatné oprávnenie Windows unattended control remote sign-in. Toto oprávnenie nie je súčasťou vstavanej roly Help Desk Operator a musí sa prideliť cez vlastnú Intune rolu.

Praktický dôsledok je jednoduchý: firma musí vopred určiť okruh pracovníkov podpory, skupiny zariadení a podmienky prihlásenia. Ak sa oprávnenie pridelí príliš široko, pohodlnejší servis zväčší dopad prípadne kompromitovaného účtu podpory.

Kontrolný zoznam pred pilotom

1. Pomenujte konkrétny problém. Spíšte zariadenia a situácie, pri ktorých dnes servis čaká na používateľa. Ak neviete určiť merateľný prínos, bezobslužný režim zatiaľ nezapínajte.
2. Overte licencie a dostupnosť v tenantovi. Remote Help vyžaduje príslušné oprávnenie pre pracovníkov podpory aj používateľov, ktorých zariadenia službu využívajú. Viditeľná voľba v portáli sama osebe nepotvrdzuje správne licenčné pokrytie.
3. Skontrolujte cieľové zariadenia. Pilotná skupina má obsahovať iba fyzické firemné x64 zariadenia spravované cez Intune, pripojené k Entra ID alebo hybridne pripojené. Zariadenie musí byť zapnuté, online a musí mať Intune Management Extension.
4. Pripravte technické závislosti. Microsoft vyžaduje Azure Virtual Desktop agent, po ňom AVD agent bootloader a povolenú službu Remote Desktop. Skontrolujte aj sieťové endpointy a komunikáciu cez HTTPS na porte 443. Presný postup uvádza oficiálny návod na nasadenie Remote Help.
5. Vytvorte samostatnú rolu. Oprávnenie pre bezobslužné prihlásenie prideľte len vybraným pracovníkom druhej alebo tretej úrovne podpory a obmedzte ho na skupiny zariadení, ktoré tento servis skutočne potrebujú.
6. Chráňte účty podpory. Pre pomocníkov vyžadujte viacfaktorové overenie a podľa možností aj spravované, vyhovujúce zariadenie cez Conditional Access. Bežný účet používateľa nemá dostať oprávnenia pracovníka podpory.
7. Nastavte dohľad a odoberanie prístupov. Sledujte Intune audit logy a prihlasovacie logy Entra ID, najmä neobvyklé časy a neznámych pomocníkov. Pri zmene pracovnej pozície alebo odchode pracovníka odstráňte rolu bez odkladu.
8. Zdokumentujte súkromie a pravidlá zásahu. Používatelia majú vedieť, kedy môže podpora pracovať bez ich účasti a ktoré úkony sú povolené. Microsoft uvádza, že metadáta relácie, napríklad čas a účastníci, uchováva na svojich serveroch 30 dní a relácie zároveň zapisuje do lokálnych Windows event logov; samotnú reláciu služba nenahráva.
9. Začnite malým pilotom. Otestujte pripojenie, notifikácie, logovanie, odobratie oprávnenia aj správanie po aktualizácii agentov. Až výsledok pilotu má rozhodnúť o širšom nasadení.
   

Rozhodnutie pre vedenie firmy

Bezobslužná podpora môže znížiť prestoje a odstrániť zbytočné koordinovanie termínov, najmä pri vzdialených pobočkách. Hodnotu však vytvorí iba vtedy, keď firma súčasne nastaví úzky rozsah oprávnení, silné overenie pracovníkov podpory, audit a zrozumiteľné pravidlá pre používateľov.

Ak nemáte aktuálny inventár zariadení, rozdelené helpdeskové roly alebo funkčný monitoring prihlásení, najprv doplňte tieto základy. Až potom má zmysel porovnávať rýchlejší servis s licenčnými a prevádzkovými nákladmi. Pri návrhu bezpečného pilotu môže pomôcť IT outsourcing prepojený s kontrolou kybernetickej bezpečnosti.