Fernwartung über Intune einrichten | Wer darf auf welchen Rechner?

Funktion einschalten → App verteilen → eigene Rolle bauen → Rolle mit Geltungsbereich zuweisen

Microsofts eigenes Fernwartungswerkzeug muss nicht mehr gesondert lizenziert werden, wenn eines der größeren Pakete im Haus ist. Damit fällt für viele der Grund weg, ein Fremdprodukt zu betreiben.

Funktion einschalten

Im Intune Admin Center führt der Weg über Remote Help zu den Einstellungen und dort zur Konfiguration. Der entscheidende Schalter steht im Auslieferungszustand auf deaktiviert.

Zwei weitere Einstellungen sind dort zu treffen. Ob Fernwartung auch auf nicht verwalteten Geräten erlaubt sein soll, ist eine Grundsatzentscheidung: Wer ausschließlich verwaltete Geräte betreut, lässt das aus. Wer damit rechnet, auch private Geräte unterstützen zu müssen, erlaubt es und arbeitet dann mit Sicherheitscodes. Und der eingebaute Chat lässt sich abschalten.

Anwendung verteilen

Der Client muss auf die Geräte. In den größeren Paketen ist der Anwendungskatalog enthalten, damit entfällt das eigene Paketieren. Unter Apps eine neue Windows-Anwendung anlegen, als Typ den Katalog wählen, den Eintrag suchen und die aktuelle Version übernehmen. Danach den gewünschten Gerätegruppen zuweisen.

Anschließend heißt es warten, bis der Client tatsächlich auf den Geräten liegt.

Rollen sind der eigentliche Teil

Es gibt eine vorgefertigte Rolle für den Helpdesk. Sie bringt allerdings deutlich mehr mit als Fernwartung, unter anderem Neustart und Zurücksetzen von Geräten. Wem das zu weit geht, baut eine eigene Rolle.

Sinnvoll ist auch, zwei Rollen zu trennen: eine, die nur den Bildschirm sehen darf, und eine mit voller Steuerung. Die Berechtigung, sich in Rückfragen des Systems als Administrator auszuweisen, gehört nicht in die erste.

Der Geltungsbereich entscheidet

Beim Zuweisen der Rolle werden zwei Dinge festgelegt: wer die Rolle bekommt und auf welche Geräte sie wirkt. Weist man der IT-Abteilung als Geltungsbereich die Gruppe des Marketings zu, dürfen die Mitglieder der IT genau deren Rechner steuern und sonst keine.

Ein Detail, das leicht übersehen wird: Ohne die Leseberechtigung für Geräte sieht ein Unterstützer die Rechner im Admin Center nicht und kann eine Sitzung nur über den Sicherheitscode aufbauen. Das ist keine Lücke, sondern ein brauchbarer Zuschnitt.

Wie eine Sitzung abläuft

1. Der Unterstützer fordert einen Sicherheitscode an. Angefordert wird er beim Dienst, nicht beim Anwender.
2. Der Code ist zehn Minuten gültig und wird dem Anwender genannt.
3. Der Anwender gibt ihn in seinem Client ein, die Sitzung steht.
4. Die Steuerung muss gesondert angefordert und vom Anwender freigegeben werden.
5. Beenden können beide Seiten jederzeit.

Die Stolperstelle bei Administratorrechten

Öffnet der Unterstützer etwas, das eine Rückfrage des Systems auslöst, wird die Bildschirmübertragung angehalten. Wer diese Rückfragen sehen und beantworten will, muss das vorher erlauben. Sonst steht man mitten in der Sitzung vor einem schwarzen Bild und weiß nicht, warum.

Selbstprüfung

1. In welchem Zustand ist die Funktion nach dem Aktivieren der Lizenz, und was ist zuerst zu tun?
2. Was legt der Geltungsbereich einer Rollenzuweisung fest, und was die Gruppenzuweisung?
3. Warum bricht die Übertragung ab, wenn eine Systemrückfrage erscheint?