Microsoft Intune Remote Help estrena soporte desatendido en Windows: qué cambia para los equipos de IT

Resolver una incidencia de forma remota suele ser sencillo… hasta que el usuario no está delante del ordenador.

Coordinar horarios, esperar a que alguien acepte una sesión o posponer una intervención hasta el día siguiente son situaciones habituales para muchos equipos de soporte. Y el problema se hace todavía más evidente cuando hablamos de oficinas remotas, dispositivos compartidos o tareas de mantenimiento que deben realizarse fuera del horario laboral.

Microsoft acaba de introducir una novedad en Intune Remote Help precisamente para resolver este escenario: Unattended Support with Remote Sign-In.

Con esta nueva funcionalidad, los técnicos autorizados pueden iniciar una sesión remota sobre determinados dispositivos Windows corporativos y autenticarse con sus propias credenciales, sin que sea necesario que el usuario esté conectado al equipo o presente para iniciar la intervención.

¿Qué cambia con el soporte desatendido?

Hasta ahora, las sesiones de Remote Help en Windows estaban ligadas a la presencia del usuario, que debía participar en el proceso de conexión. Con Unattended Support, el modelo cambia.

Un técnico con los permisos adecuados puede iniciar la intervención desde Microsoft Intune y conectarse al dispositivo hasta llegar a la pantalla de inicio de sesión de Windows. Desde ahí, se autentica con las credenciales que tenga autorizadas y trabaja dentro de una sesión de Windows independiente.

Esto abre escenarios especialmente interesantes para departamentos de IT y proveedores de servicios gestionados:

• Mantenimiento fuera del horario laboral. Un equipo puede recibir soporte cuando no está siendo utilizado, evitando interrupciones al usuario.
• Soporte a oficinas remotas. Las organizaciones con múltiples ubicaciones pueden intervenir sobre dispositivos sin necesitar personal técnico físicamente en cada oficina.
• Menos coordinación para Help Desk. Una incidencia que requiere pocos minutos de intervención ya no tiene por qué convertirse en varios correos o llamadas simplemente para encontrar un momento en el que usuario y técnico estén disponibles.
• Intervención sobre dispositivos compartidos. Call centers, puestos compartidos y otros entornos donde el dispositivo tiene más relevancia que un usuario concreto pueden beneficiarse especialmente de este modelo.

¿Y qué ocurre con la sesión del usuario?

Aquí está uno de los aspectos más interesantes de la implementación.

El soporte desatendido no implica que el técnico entre directamente en la sesión que estaba utilizando el empleado.

Si existe una sesión de usuario abierta, esta se bloquea y conserva, mientras el técnico trabaja desde una sesión de Windows separada. El usuario no ve las acciones que se están realizando dentro de la sesión del técnico y puede recuperar el control iniciando nuevamente sesión.

Además, cuando hay alguien utilizando activamente el dispositivo, Windows muestra una notificación informando de la solicitud de conexión remota. El usuario dispone de una ventana para aceptarla o rechazarla.

Por tanto, hablamos de acceso desatendido, pero no de acceso invisible.

Seguridad y control: el punto crítico

Dar acceso remoto a un dispositivo sin necesitar que el usuario esté presente es una capacidad potente. Precisamente por eso, Microsoft ha incorporado diferentes controles alrededor de la funcionalidad. Uno de los principales es Role-Based Access Control (RBAC).

El acceso desatendido dispone de un permiso específico, «Windows unattended control remote sign-in«, que permite determinar qué miembros del equipo de soporte pueden utilizar esta modalidad y sobre qué grupos de dispositivos.

Esto permite aplicar un principio fundamental en seguridad: least privilege.

No todos los técnicos de Help Desk necesitan disponer de acceso desatendido. Una organización puede reservarlo, por ejemplo, para equipos Tier 2, Tier 3 o administradores senior y limitar además el alcance únicamente a los dispositivos sobre los que sean responsables.

Las credenciales utilizadas dentro del dispositivo mantienen también sus privilegios habituales: utilizar una cuenta estándar no proporciona automáticamente permisos de administrador.

A ello se añade la trazabilidad. Las sesiones quedan registradas dentro de la infraestructura de reporting y auditoría de Remote Help, incluyendo información sobre el dispositivo, técnico, tipo de sesión y ciclo de vida de la conexión.

Las sesiones desatendidas tienen además una duración máxima de 12 horas, tras las cuales se desconectan automáticamente.

¿Qué dispositivos son compatibles?

Hay algunas limitaciones importantes que conviene tener presentes.

En su lanzamiento, la funcionalidad está orientada a dispositivos Windows físicos y propiedad de la organización, inscritos en Intune y unidos a Microsoft Entra ID o Hybrid Microsoft Entra ID.

Los dispositivos personales o BYOD no son compatibles.

Tampoco lo son actualmente las máquinas virtuales. Microsoft indica que trabaja para llevar esta capacidad en el futuro a escenarios como Windows 365 y Azure Virtual Desktop.

El dispositivo también debe estar encendido, conectado a Internet y ser capaz de comunicarse con los servicios necesarios. Es decir, el soporte es desatendido, pero no permite despertar un ordenador apagado, suspendido o en hibernación.

¿Qué necesita configurar el departamento de IT?

La puesta en marcha se puede resumir en tres bloques principales.

En primer lugar, hay que configurar el permiso RBAC correspondiente y asignarlo únicamente a los grupos de soporte que deban disponer de esta capacidad.

En segundo lugar, los dispositivos necesitan los componentes Azure Virtual Desktop Agent y Azure Virtual Desktop Agent Bootloader, que pueden distribuirse como aplicaciones Win32 mediante Intune y posteriormente se actualizan de forma automática.

Por último, es necesario habilitar Remote Desktop mediante un perfil de configuración para los dispositivos objetivo.

Es importante que permisos, agentes y configuración estén correctamente dirigidos hacia los mismos grupos de dispositivos.

¿Y cuánto cuesta? El licenciamiento también importa

Aquí llega la pregunta que probablemente se haga cualquier responsable de IT:

«Muy bonito todo, pero… ¿esto viene incluido en mi licencia de Intune?»

La respuesta no es tan sencilla como podría parecer.

Microsoft Intune Plan 1 no incluye Remote Help.

Remote Help es una capacidad avanzada de Intune y requiere el correspondiente derecho de uso/licencia, además de Intune. Microsoft indica que es necesario disponer de una licencia de Remote Help para las personas que proporcionan asistencia y para los usuarios que reciben la asistencia.

Esto es importante porque podemos tener perfectamente:

• Microsoft 365 Business Premium.
• Intune Plan 1.
• Dispositivos correctamente enrolados.
• RBAC correctamente configurado.

Y aun así necesitar el licenciamiento correspondiente para utilizar Remote Help.

¿Y qué pasa con Intune Plan 2?

Remote Help está dentro de las capacidades avanzadas de Intune asociadas a Plan 2, aunque Microsoft también lo comercializa mediante las opciones de licenciamiento correspondientes de Remote Help/Intune Suite y determinados paquetes de Microsoft 365.

Por eso, antes de diseñar una implantación, yo comprobaría exactamente qué licencia tiene nuestra organización y qué derechos de uso tenemos, en lugar de asumir que «como tengo Intune, tengo Remote Help».

---

Mi recomendación

Antes de activar Remote Help en producción, haría una pequeña matriz:

Elemento	Revisar
Intune	¿Tenemos Plan 1/Plan 2?
Remote Help	¿Tenemos el licenciamiento necesario?
Técnicos	¿Quién necesita proporcionar asistencia?
Usuarios	¿Quién va a recibirla?
RBAC	¿Quién puede usar Remote Help?
Unattended	¿Quién puede iniciar sesiones desatendidas?
Scope Groups	¿Sobre qué dispositivos?
Conditional Access	¿Qué controles aplicamos?

Porque, como siempre en Microsoft 365, que una funcionalidad aparezca en el portal no significa que debamos habilitarla para todo el mundo.

Y aquí además encaja perfectamente con el enfoque que llevas en el blog: licenciamiento + RBAC + least privilege + operación real.

Es una funcionalidad técnica, pero también es una decisión de arquitectura.

Una mejora pequeña en apariencia, importante en operaciones

Remote Help ya proporcionaba a las organizaciones una forma integrada de prestar asistencia remota desde el ecosistema Microsoft Intune. La incorporación del soporte desatendido elimina ahora una de las principales dependencias operativas: que técnico y usuario tengan que coincidir.

Y esto tiene implicaciones que van más allá de ahorrar unos minutos.

Para organizaciones distribuidas, con trabajadores remotos, delegaciones internacionales, centros de atención al cliente o equipos que necesitan mantenimiento fuera del horario habitual, significa poder separar la resolución técnica de la disponibilidad del usuario.

Al mismo tiempo, Microsoft ha optado por introducir controles específicos de permisos, aislamiento de sesiones, principio de mínimo privilegio y auditoría para reducir los riesgos asociados a una capacidad de este tipo.

El resultado es una evolución relevante de Remote Help: el soporte remoto deja de estar necesariamente centrado en asistir a una persona y puede utilizarse también para gestionar y mantener el propio dispositivo de forma remota.

Para los equipos de IT que ya gestionan su parque Windows con Intune, es una funcionalidad que merece la pena evaluar, especialmente en aquellos entornos donde coordinar una sesión con el usuario sigue siendo uno de los principales cuellos de botella del soporte.