Intune Remote Help : La prise en main à distance sans utilisateur présent

Microsoft révolutionne la gestion des postes de travail en étendant les capacités d'Intune Remote Help. Jusqu'ici, la dépanne à distance sur Windows exigeait la présence physique d'un utilisateur pour accepter la session. La nouvelle fonctionnalité permet désormais aux techniciens d'initier une prise en main sur un PC Windows même si personne n'est assis devant l'écran, éliminant un goulot d'étranglement majeur pour les équipes support et les consultants IT.

En bref

• Autonomie totale : Connexion possible sur un poste Windows 10/11 verrouillé ou éteint (si Wake-on-LAN actif), sans intervention utilisateur.
• Cible principale : Postes gérés via Microsoft Intune avec l'agent de gestion (MDM) installé.
• Sécurité renforcée : Authentification multi-facteurs (MFA) obligatoire pour le technicien et audit complet des sessions.
• Limites actuelles : Fonctionne uniquement sur Windows, pas encore sur macOS ou iOS/Android.
• Prérequis techniques : Configuration spécifique dans le portail Intune et permissions d'administrateur IT.

Le contexte : pourquoi cette évolution est cruciale

Pour tout administrateur système ou consultant en infogérance, la "prise en main à distance" (Remote Help) est un outil vital. Historiquement, les solutions comme Teams Remote Assistance ou les outils tiers (TeamViewer, AnyDesk) imposaient une friction significative : l'utilisateur final devait être présent, comprendre la demande, cliquer sur "Accepter" et souvent saisir un code de session.

Dans un contexte d'infogérance (MSP) ou de support interne, cela créait des scénarios d'échec fréquents :

1. L'utilisateur est en réunion et ne voit pas la notification.
2. Le poste est verrouillé et l'utilisateur a quitté son bureau.
3. L'utilisateur n'est pas techniquement assez à l'aise pour accepter la session.

Avec la nouvelle capacité d'Intune Remote Help, le technicien peut désormais se connecter directement. Cela transforme le modèle de support : on passe d'une assistance "réactive" (attendre l'utilisateur) à une intervention "proactive" (réparer le poste quand on a le temps, ou immédiatement en cas de panne critique).

Prérequis techniques et configuration

Pour activer cette fonctionnalité, votre environnement doit répondre à plusieurs conditions strictes. Il ne suffit pas d'avoir des licences Intune ; il faut configurer le bon flux de données et les permissions.

1. Compatibilité des systèmes d'exploitation

• Cible : Windows 10 (version 21H2 et ultérieures) ou Windows 11.
• Exclusions : macOS, iOS, Android ne sont pas encore éligibles à cette fonctionnalité "sans utilisateur" (la prise en main classique reste possible sur ces plateformes si l'utilisateur est présent).

2. Gestion des identités et licences

• Les utilisateurs finaux doivent être gérés par Intune.
• Le compte technicien doit disposer d'une licence Microsoft 365 E3/E5 ou d'une licence Intune Suite spécifique, avec le rôle d'administrateur IT ou de support.
• L'utilisateur final doit être lié à un appareil MDM (Mobile Device Management) dans Intune.

3. Configuration dans le portail Microsoft Intune

La configuration se fait via le portail d'administration Microsoft Intune (intune.microsoft.com).

1. Accédez à Appareils > Windows > Tous les appareils.
2. Sélectionnez l'appareil cible (ou créez une stratégie de groupe).
3. Allez dans Stratégies > Créer une stratégie > Windows 10 et versions suivantes > Paramètres de l'appareil.
4. Dans le profil de configuration, naviguez vers Modèles d'administration > Windows > Sécurité de l'appareil > Remote Help.
5. Activez la stratégie "Autoriser la prise en main à distance".
6. Décochez l'option "Exiger que l'utilisateur accepte la session" (c'est l'option clé qui active le mode sans utilisateur).

Note technique : Cette stratégie peut être déployée via GPO (Group Policy Object) synchronisé avec Intune (Endpoint Manager) ou directement via une stratégie MDM. Pour les environnements hybrides (AD + Intune), la synchronisation GPO vers Intune est souvent la méthode la plus robuste pour garantir la cohérence.

4. Configuration du client Windows

Sur le poste client, l'agent Intune doit être actif et connecté. Assurez-vous que :

• Le service Microsoft Intune Enrollment est en cours d'exécution.
• Les pare-feux ne bloquent pas les ports de communication Intune (généralement le port 443/HTTPS).
• L'application Microsoft Remote Desktop ou le composant de prise en main intégré est à jour.

Fonctionnement et workflow du technicien

Une fois les prérequis en place, le workflow change radicalement.

Initiation de la session

Le technicien accède à la console Intune ou via Teams (si l'intégration est active). Il sélectionne l'appareil Windows cible. Contrairement à l'ancienne méthode, il n'y a pas de bouton "Inviter l'utilisateur". Le bouton "Démarrer la session" est disponible immédiatement.

Authentification du technicien

C'est ici que la sécurité est cruciale. Pour se connecter sans l'aval de l'utilisateur local, le technicien doit prouver son identité de manière forte :

• MFA obligatoire : Une demande de vérification (app, SMS, e-mail) sera envoyée au technicien.
• Validation conditionnelle : Si votre stratégie de sécurité Microsoft 365 est bien configurée, l'accès sera refusé si le technicien n'est pas sur un réseau de confiance ou si l'appareil du technicien n'est pas conforme (Intune compliant).

La session

• Le technicien obtient un contrôle total du bureau Windows.
• L'écran du poste client reste verrouillé ou s'adapte selon les paramètres de politique (par exemple, afficher un message "Session de support active").
• Les actions (installation de logiciels, modification du registre, débogage) sont tracées.

Sécurité et audit : les garde-fous indispensables

Donner la main sur un poste sans l'accord explicite de l'utilisateur est un risque de sécurité majeur s'il est mal maîtrisé. Microsoft a intégré plusieurs mécanismes pour limiter les abus.

1. Audit et journalisation

Chaque session est loguée dans le centre d'audit Microsoft 365 et dans les journaux d'activité d'Intune.

• Qui : L'identifiant du technicien.
• Quand : Horodatage précis (UTC).
• Quoi : Actions réalisées (commandes exécutées, fichiers créés, processus lancés).
• Où : IP source du technicien.

2. Restrictions de scope

Vous pouvez limiter cette fonctionnalité à certains groupes de sécurité Azure AD. Par exemple, n'autoriser la prise en main sans utilisateur que pour les postes du service de production, et exiger l'accord utilisateur pour les postes des cadres dirigeants.

3. Politique de "Consentement implicite"

Il est fortement recommandé de documenter cette capacité dans le contrat de service ou la charte informatique. L'utilisateur doit savoir que son poste peut être pris en main sans son intervention physique. La transparence est le meilleur outil contre les suspicions de surveillance illégitime.

Bonnes pratiques pour consultants IT

En tant que consultant ou administrateur système, voici comment exploiter cette fonctionnalité tout en minimisant les risques juridiques et de réputation.

1. Segmentez vos permissions

Ne donnez pas le droit de "Remote Help sans utilisateur" à tous les techniciens de niveau 1.

• Niveau 1 : Prise en main avec accord utilisateur (standard).
• Niveau 2/3 : Prise en main sans utilisateur (réservé aux experts ou aux situations de panne critique).

Utilisez les rôles RBAC (Role-Based Access Control) dans Microsoft 365 pour restreindre l'accès.

2. Combinez avec le Wake-on-LAN (WOL)

La prise en main à distance ne fonctionne pas si le PC est éteint. Pour un support complet, configurez le Wake-on-LAN sur les cartes réseau et les switchs.

• Activez WOL dans le BIOS/UEFI et les paramètres Windows.
• Utilisez les outils de gestion d'Intune ou des scripts PowerShell pour réveiller le poste avant de lancer la session Remote Help.
• Exemple de commande PowerShell pour réveiller un poste (si la MAC est connue) :

  # Exemple simplifié, nécessite un outil de broadcast WOL
  # Utiliser un outil comme WakeOnLan ou un script custom
  # Note : Le WOL doit être configuré côté réseau (VLAN, IGMP snooping désactivé si nécessaire)
  

3. Automatisation des diagnostics

Avant de prendre la main, utilisez les Scripts Intune pour collecter des logs automatiquement.

• Créez un script qui récupère dism /online /cleanup-image /startcomponentcleanup, les logs d'événements système, et l'état des services.
• Le technicien peut lancer ce script à distance (via le canal de scripts Intune) sans ouvrir de session graphique, réduisant le temps d'analyse.

4. Communication proactive

Envoyez un e-mail ou une notification Teams à l'utilisateur final avant de lancer la session si possible.

• Message type : "Cher utilisateur, nous allons intervenir sur votre poste [Nom] pour résoudre le problème [ID Ticket]. Cette intervention est planifiée et tracée. Vous serez notifié à la fin."
• Cela réduit l'anxiété et les faux positifs de "piratage".

5. Audit régulier

Mettez en place une revue mensuelle des sessions Remote Help "sans utilisateur".

• Vérifiez qu'aucune session n'a été ouverte sur un poste non concerné par un ticket.
• Confirmez que le MFA a bien été effectué.
• Archivez les rapports d'audit pour preuve de conformité (ISO 27001, RGPD).

Points clés

1. Fin de l'attente : La présence physique de l'utilisateur n'est plus un prérequis pour dépanner un PC Windows sous Intune.
2. Sécurité par la MFA : L'accès est verrouillé derrière une authentification forte du technicien, pas du client.
3. Configuration critique : La désactivation de l'option "Exiger l'acceptation utilisateur" dans les stratégies Intune est l'étape technique clé.
4. Audit non négociable : Toute session doit être tracée, horodatée et associée à un ticket de support pour éviter les dérives.
5. Évolution progressive : Cette fonctionnalité comble un vide historique entre la gestion MDM (qui gère la config) et le support humain (qui résout les incidents). Elle rend le modèle "Zero Touch" plus réaliste pour les environnements Windows.

Cette nouveauté d'Intune Remote Help marque un tournant pour les consultants IT et les équipes support. Elle libère du temps précieux et permet des interventions plus rapides, mais elle impose une discipline rigoureuse en matière de sécurité et de gouvernance. Maîtriser cette configuration, c'est gagner en efficacité opérationnelle tout en restant dans le cadre d'une sécurité d'entreprise solide.

Source : IT Connect