Vous avez besoin d’intervenir sur un poste Windows… mais l’utilisateur n’est pas devant son écran ?
Jusqu’à présent, Remote Help restait principalement pensé pour une assistance avec un utilisateur présent pour accepter la connexion.
Microsoft vient de faire évoluer ce fonctionnement avec la disponibilité générale de
Windows Unattended Support with Remote Sign-In.
Le technicien peut désormais se connecter à un poste géré sans attendre qu’un utilisateur accepte la session.
Sur le papier, cela semble être une simple évolution de Remote Help.
En réalité, elle corrige l’une des principales limites de la solution face aux outils de prise en main à distance traditionnels.
Qu’est-ce que le support Unattended ?
Le mode Unattended permet à un technicien autorisé de prendre le contrôle d’un appareil Windows géré par Intune
sans qu’un utilisateur soit activement présent pour accepter la session.
Cela répond directement à plusieurs scénarios :
- maintenance en dehors des heures de travail ;
- poste situé dans une agence sans équipe IT locale ;
- équipement partagé ;
- borne ou poste utilisé ponctuellement ;
- machine nécessitant une intervention avant l’arrivée de l’utilisateur ;
- support sur un poste bloqué à l’écran de connexion.
Important :
Le technicien ne « vole » pas silencieusement la session Windows ouverte de l’utilisateur.
Le scénario repose sur une connexion distante contrôlée, avec authentification et permissions Intune dédiées.
Pourquoi cette évolution est importante ?
Remote Help était déjà intéressant pour remplacer certaines solutions de support à distance :
- intégration native avec Intune ;
- RBAC ;
- élévation UAC ;
- journalisation des sessions ;
- contrôle centralisé depuis le portail Intune.
Mais il restait un problème simple :
Si l’utilisateur n’était pas disponible, l’intervention pouvait être bloquée.
C’est particulièrement gênant pour :
- les opérations de maintenance de nuit ;
- les postes dans des bureaux distants ;
- les machines partagées ;
- les équipements de production ou d’affichage ;
- les postes sur lesquels le support souhaite intervenir avant la prise de poste.
Avec le support sans surveillance, Remote Help devient donc beaucoup plus comparable aux solutions de prise en main à distance
historiquement utilisées par les équipes support.
Comment fonctionne réellement une session ?
Le technicien démarre la session depuis le centre d’administration Microsoft Intune.
Sélection du poste
Le technicien ouvre l’appareil depuis Intune.
Remote Help
Il lance une nouvelle session d’assistance à distance.
Authentification
Le technicien s’authentifie avec son compte autorisé.
Session distante
La session s’ouvre sans interaction obligatoire de l’utilisateur.
Si un utilisateur est déjà connecté au poste, le comportement reste encadré afin d’éviter une prise de contrôle totalement invisible.
Microsoft conserve également la traçabilité des sessions dans Intune afin de pouvoir identifier
qui s’est connecté, sur quel appareil et pendant combien de temps.
La configuration n’est pas automatique
C’est probablement le point le plus important à connaître.
Activer Remote Help dans le tenant ne suffit pas.
Le support Windows sans surveillance nécessite plusieurs éléments spécifiques.
1. Créer un rôle Intune personnalisé
Le rôle intégré Help Desk Operator ne suffit pas pour le scénario Windows Unattended.
Microsoft ajoute une permission spécifique :
Il faut donc créer un rôle Intune personnalisé et attribuer cette permission uniquement aux équipes qui doivent réellement
effectuer ce type d’intervention.
Ma recommandation :
Je réserverais cette permission aux équipes de support N2/N3 ou à un groupe d’administrateurs dédié.
Une prise de contrôle sans utilisateur présent mérite clairement un niveau d’autorisation supérieur à une simple session de visualisation.
2. Déployer les composants Azure Virtual Desktop
Le fonctionnement repose sur deux composants Azure Virtual Desktop :
Les deux composants doivent être empaquetés puis déployés via Intune sur les postes concernés.
Attention à l’ordre :
L’AVD Agent doit être installé avant le Bootloader.
Le Bootloader dépend de l’Agent.
Microsoft indique que l’agent se met ensuite à jour automatiquement lorsqu’une nouvelle version du service Azure Virtual Desktop est disponible.
3. Activer Remote Desktop
Les postes ciblés doivent également accepter les connexions distantes.
Microsoft recommande de créer un profil de configuration Intune via le Settings Catalog.
Paramètre :
Remote Desktop → Allow users to connect remotely using Remote Desktop
Il faut évidemment vérifier en parallèle que les règles réseau et pare-feu nécessaires autorisent la communication.
Remote Help reste fortement encadré
Le mode Unattended ne supprime pas les mécanismes de sécurité déjà présents dans Remote Help.
Microsoft Entra ID
Le technicien doit s’authentifier avec son identité professionnelle.
RBAC Intune
Les autorisations déterminent qui peut intervenir et sur quels appareils.
Audit
Les sessions Remote Help peuvent être suivies depuis Intune.
Conditional Access
Les accès des techniciens peuvent être renforcés avec les politiques Entra.
C’est l’un des points qui distingue Remote Help d’un outil de prise en main distant classique : la délégation peut être directement intégrée à la gouvernance Intune.
Les limites à connaître
Même avec cette évolution, Remote Help ne remplace pas encore tous les outils de support à distance.
Quelques points à garder en tête :
- les appareils doivent être gérés par Intune pour utiliser le scénario Windows Unattended ;
- le poste doit être allumé et disposer d’une connexion réseau ;
- la fonctionnalité nécessite une préparation en amont ;
- les droits doivent être précisément délégués via RBAC ;
- les composants Azure Virtual Desktop doivent être déployés ;
- Remote Desktop doit être activé sur les appareils concernés.
Ce n’est donc pas une fonctionnalité que l’on active le jour où un poste tombe en panne.
Elle doit être pensée comme une capacité de support déployée à l’avance sur les populations concernées.
Dans quels cas je l’activerais ?
Je ne déploierais pas forcément le support Unattended sur l’ensemble du parc.
Je ciblerais plutôt certaines populations :
- postes partagés ;
- agences ou bureaux éloignés ;
- machines critiques devant pouvoir être maintenues la nuit ;
- postes sur lesquels les équipes N2/N3 interviennent régulièrement ;
- équipements pour lesquels attendre l’utilisateur représente une vraie perte de temps.
Pour le reste des utilisateurs, le mode Remote Help classique avec validation de la session reste parfaitement adapté
et offre davantage de transparence.
Mon avis
C’est probablement l’une des évolutions que j’attendais le plus sur Remote Help.
La solution disposait déjà d’une excellente intégration Intune, mais l’impossibilité d’intervenir facilement sans utilisateur présent restait une vraie limite face aux outils de support traditionnels.
Avec le support Unattended, Microsoft réduit clairement cet écart.
J’apprécie également le fait que cette fonctionnalité ne soit pas simplement activée avec un bouton.
Le passage par un rôle RBAC spécifique oblige à réfléchir à la délégation des droits, ce qui me semble indispensable pour une capacité aussi sensible.
En revanche, le déploiement reste encore assez technique : Agent AVD, Bootloader, Remote Desktop et rôle personnalisé.
Il faudra donc préparer correctement l’environnement avant de considérer Remote Help comme une véritable solution
de maintenance sans utilisateur.
Et vous ?
Est-ce que l’arrivée du support Windows sans surveillance pourrait vous faire envisager Remote Help
à la place de votre solution actuelle de prise en main à distance ?
