Intune Remote HelpでWindowsの利用者不在時に支援するには、会社所有のIntune管理済み物理x64端末、無人支援用のエージェント、専用のロール権限、Remote Desktopの有効化が必要です。有人支援用Remote Helpアプリを配布し、Help Desk Operatorロールを付けるだけでは条件を満たしません。
2026年8月のIntuneサービスリリース2608で、物理Windows端末への無人支援が案内されました。この記事ではWindows無人支援の追加要件を先に整理し、従来の有人支援、macOS、Android専用端末、ネットワークと監査の設計も合わせて説明します。Intuneの新機能で公開内容を確認できます。
Remote Helpの有人支援と無人支援の違い
Remote Helpは、Microsoft Entra IDの認証とIntuneのロールベースのアクセス制御（RBAC）を使う遠隔支援機能です。支援する人をヘルパー、支援を受ける人を共有者と呼びます。ヘルパー・共有者・端末は同じテナントに所属する必要があり、別テナントへそのまま接続する機能ではありません。
| 支援モード | 用途と条件 |
|---|---|
| 有人・表示のみ | ユーザーが参加して許可し、ヘルパーが画面を確認する。操作案内に使う。 |
| 有人・フルコントロール／昇格 | 必要な操作権限を持つヘルパーが、ユーザーの同意を得て操作する。昇格はWindowsのUAC操作などに関係する。 |
| Windows無人支援 | 専用条件を満たす物理Windowsに、許可された担当者がリモートサインインして支援する。有人支援とは別アプリ構成。 |
| Android無人支援 | 対応するAndroid Enterprise専用端末を対象とする。Windowsとは端末条件・アプリ・権限が異なる。 |
Windowsの無人支援はWindowsのWebヘルパーからの組み合わせが公式対応表に記載されています。Webアプリという名称だけで「すべて表示のみ」とは判断せず、支援元・支援先・モードの組み合わせをRemote Helpの計画ガイドで確認してください。
Windows無人支援の対象端末と非対応端末
| 確認項目 | Windows無人支援の条件 |
|---|---|
| 所有・管理 | 会社所有で、Intuneに登録・管理されていること。 |
| 端末・OS構成 | 物理端末でx64ベースのWindowsであること。 |
| Entraの参加状態 | Microsoft Entra参加、またはMicrosoft Entraハイブリッド参加。 |
| 端末側の構成 | Intune Management Extension（IME）と無人支援用エージェントを導入し、Remote Desktopを有効化。 |
| 電源・接続 | 電源オンでインターネットに接続していること。スリープ・休止・シャットダウン中は受信できない。 |
BYOD、Intune未登録端末、Windows 365やAzure Virtual Desktopなどの仮想端末は、Windows無人支援の対象外です。Windows Arm64やx86を含む有人支援の対応範囲を、無人支援へそのまま適用しないでください。未登録デバイスへのRemote Helpをテナントで許可しても、このWindows無人支援の条件は変わりません。
Azure Virtual Desktopという名前のエージェントを使いますが、無人支援先をAVDの仮想端末にするという意味ではありません。対象は上記の物理Windows端末です。
ライセンスと同一テナントを先に確認する
WindowsでRemote Helpを利用する場合、ヘルパーと共有者の双方にRemote Helpライセンスが必要です。Microsoft Intune Plan 1またはPlan 2だけで利用できるとは判断せず、追加のRemote Help利用権を含む契約と割り当てを確認します。契約名や管理者ロールだけでは利用権の確認になりません。
管理対象の端末と利用者を同じテナントに揃え、担当者と支援対象のグループを記録しておきます。委託ヘルプデスクでも、委託先の別テナントからの接続を前提に設計しないでください。価格は契約条件で確認し、料金をこの記事だけで確定しないようにします。
テナントを有効化し、専用のカスタムロールを作る
- Intune管理センターで［Tenant administration］→［Remote Help］を開きます。
- ［Settings］で［Enable Remote Help］を［Enabled］にし、［Save］で保存します。
- 未登録デバイスの許可とチャットの設定は、有人支援も含む組織の運用方針に合わせて選びます。Windows無人支援のために未登録端末を許可する必要はありません。
- Windows無人支援に必要な権限を持つカスタムIntuneロールを作り、担当者と対象端末のグループに限定して割り当てます。
組み込みのHelp Desk Operatorには「Windows unattended control remote sign-in」が含まれません。Windows無人支援のロールでは、少なくとも次の組み合わせを確認します。
| 権限 | 役割 |
|---|---|
| Remote Tasks – Offer remote assistance | リモート支援を提供する。 |
| Remote Assistance Connector – Read | セッション開始時にテナントのRemote Help構成を確認する。 |
| Remote Help app – Windows unattended control remote sign-in | 対象の物理・会社所有Windowsへ無人でリモートサインインする。 |
ロールの管理グループに許可された担当者を、スコープグループに必要な支援対象を指定します。ロールを持っていても、対象がスコープ外なら支援できません。一般の一次受付へ無人制御をまとめて付けず、表示のみ・フルコントロール・昇格・無人を業務別に分けます。設定の根拠はRemote Help展開ガイドで確認できます。
新しいライセンスや試用ライセンスの有効化には30分〜8時間かかる場合があるとMicrosoftは案内しています。展開直後の表示だけで権限を追加し続けず、契約の反映とテナント設定、ロールを分けて確認してください。
Windows無人支援用のエージェントを正しい順で配布する
有人支援で使うRemote Helpアプリとは別に、Azure Virtual Desktop agent、続いてAzure Virtual Desktop agent bootloaderをインストールします。ダウンロードは展開ガイド内のMicrosoft公式リンクを使ってください。
- Azure Virtual Desktop agentとagent bootloaderのインストーラーを取得します。
- Intuneで配布する場合は、各MSIを別々のWin32アプリ用パッケージにします。Microsoft Win32 Content Prep Toolで、それぞれ.intunewinを作成します。
- agentのWin32アプリを先に作り、要件・MSI検出規則と対象デバイスグループを設定します。
- bootloaderのWin32アプリを作り、［Dependencies］に先ほどのagentアプリを追加します。［Automatically install］を［Yes］にして、同じデバイスグループを割り当てます。
- 対象端末でagentの導入を検出したあと、bootloaderが導入されることを配布状態で確認します。
インストーラーで登録トークンを求められた場合は、自動入力されるINVALID_TOKENを変更せず、公式手順どおり［Next］で進めます。実際のAVDホスト登録用トークンへ置き換える手順ではありません。
IMEも端末に必要です。エージェント2本の配布成功だけでなく、IMEの導入とチェックイン状態を確認します。権限追加・配布・端末構成は、それぞれ別の確認項目です。
Remote Desktopと無人支援のネットワークを構成する
Intuneの設定カタログでRemote Desktopを有効にできます。［Devices］→［Manage devices］→［Configuration］からWindowsの設定カタログプロファイルを作り、［Remote Desktop］で検索して［Allow users to connect remotely by using Remote Desktop Services］を［Enabled］にします。対象グループへ割り当て、端末の［設定］→［システム］→［リモートデスクトップ］でも反映を確認します。
プロファイルを配布する前に、組織のファイアウォールが必要なRDP通信を許可できるか確認します。ルーターのポート開放やインターネットへのRDP公開を一律に行う案内ではありません。Remote Helpの通信経路と組織のネットワーク設計に合わせて構成してください。
Remote Helpの共通エンドポイントに加え、Windows無人支援のRemote Sign-inにはAVDセッションホストのエンドポイント要件があります。共通のTCP 443だけを確認して終わりにせず、Intune公式のRemote Help通信先一覧と、そこから案内される依存先を確認します。
従来のWindows通知経路に関係する*.trouter.communications.svc.cloud.microsoftも同一覧にあります。プロキシやSSL検査の影響を確認し、有人支援では必要に応じてRemoteHelp.exe、RHService.exe、RemoteHelpRDP.exeのファイアウォール許可を確認します。有人用アプリの許可と無人支援の依存通信を混同しないでください。
従来の有人Windows・macOS・Androidの展開も確認する
有人Windows
有人支援ではRemote Helpネイティブアプリを展開します。Enterprise App CatalogまたはWin32アプリ配布を使えます。Win32の検出ではC:\Program Files\Remote Help\RemoteHelp.exeのバージョンを、実際に配布する版に合わせて指定します。古い資料のサンプル版番号をそのまま使わず、更新方法も決めておきます。
macOS
フルコントロールにはmacOSのネイティブアプリが必要で、表示のみではWebアプリも選択肢です。画面収録・アクセシビリティなどの許可を確認します。PPPCでアクセシビリティを許可できても、画面共有をMDMだけで無条件に許可できるわけではありません。標準ユーザーが許可できるようにする設定と、本人が行う操作を分けて案内します。更新はMicrosoft AutoUpdateなどの管理方法を確認してください。
Android専用端末の無人支援
AndroidはIntuneに登録した対応Samsung Knox・ZebraなどのAndroid Enterprise専用端末が対象です。ZebraはMX 8.3以降、無人制御はMX 9.3以降という追加条件があります。Managed Google PlayからRemote Helpを必須アプリとして配布し、カメラ権限やOEMConfigなど機種別の設定を確認します。未登録Androidは対象外です。
Androidの専用端末（COSU）でユーザーがサインインしない対応Samsung・Zebraには、共有者ライセンスを必要とせずヘルパーのみ必要という例外があります。このAndroidの例外をWindows無人支援に当てはめないでください。無人権限もWindows用とAndroid用で別です。
利用者への通知、条件付きアクセス、監査の運用
有人支援はユーザーが参加し、画面共有や制御を許可する仕組みです。無人支援では利用者が操作内容をその場で観察できない一方、無人セッションがアクティブであることは通知されます。Remote Helpサービスはセッション録画を保存しません。「録画がない」と「利用記録もない」を混同しないでください。
Windows・macOSでは、ヘルパーにMFAや準拠デバイスを求める条件付きアクセスを検討します。Remote Assistance ServiceのアプリIDは1dee7b72-b80d-4e56-933d-8b6b04f9a3e2です。既存ポリシーの対象と例外を確認し、必要な支援を止めないようテストします。
セッション記録、Intune監査ログ、Entraのサインインログ、端末ログを確認する担当者を決めます。対応チケットには対象端末、作業内容、使用した権限、結果を残します。時間外の利用や接続失敗、昇格・無人利用の頻度を見直し、担当者の異動・退職時には不要なロールを外してください。
接続できないときと段階展開の確認表
| 確認する範囲 | 確認内容 |
|---|---|
| 対象とテナント | 物理x64・会社所有・登録・Entra参加状態、同一テナント。 |
| 契約とロール | Remote Help利用権、Windows専用無人権限、担当者と対象のスコープ。 |
| 端末構成 | agent→bootloader、IME、Remote Desktop、電源オン・ネット接続。 |
| 通信 | Remote Help共通先と無人支援の依存先、ファイアウォール・プロキシ。 |
| 実際の運用 | 対象を絞って開始・終了・通知・ログを確認し、手順をヘルプデスクへ共有。 |
全社展開前に、担当者と端末を絞ったパイロットで接続・拒否される条件・終了後の状態・ログを確認します。記事の要件が揃ったことと、個別ネットワークで実際に接続できたことは別なので、結果を残してから対象を広げてください。
よくある質問
Help Desk OperatorがあればWindows無人支援を開始できますか？
その組み込みロールだけではWindows unattended control remote sign-inが含まれません。専用権限と共通のリモートタスク・コネクタ権限を持つカスタムロール、対象スコープ、端末側の構成を確認します。
スリープ中のPCをRemote Helpで起こせますか？
無人支援の対象端末は電源オンとインターネット接続が必要です。スリープ・休止・シャットダウン中は無人支援要求を受け取れません。
無人支援を許可すると、どのWindowsにも接続できますか？
いいえ。物理x64・会社所有・Intune管理・Entra参加などの条件があります。未登録やBYOD、Windows 365・AVDなどの仮想端末はWindows無人支援の対象外です。
コメント