遠程IT支援：哪些能遠程解決，哪些要上門

簡短回答：大部分軟件、帳戶和配置問題都能遠程解決。凡是物理層面的問題都要有人到場：佈線、供電、更換硬件、上架，以及完全連不上網絡的設備。遠程支援的安全程度取決於背後的工具，所以要限制誰能發起會話，要求用機構帳戶登入，並保留審計記錄。

本文寫給正在決定「哪些交給遠程團隊、哪些留給上門」的中小企業，也寫給需要審批遠程支援工具的人。讀完後你會得到一份分工清單和一份安全清單，可以直接套用到現在使用的工具上。

哪些問題通常可以遠程解決？

只要設備開著並能連上互聯網，下面大多數都可以遠程做。

帳戶：重置密碼、解鎖、重新登記 MFA、群組成員、授權分配。
Microsoft 365：郵箱規則和權限、Outlook 配置文件修復、Teams 和 OneDrive 問題、共享郵箱設定。
軟件：安裝、修復、移除已批准的應用，推送更新，清理失敗的更新。
設備設定與策略：Wi-Fi 配置、VPN 客戶端、打印機、安全設定、設備管理註冊檢查。
性能與當機：啟動項、硬碟空間、驅動程式更新、事件日誌檢查。
由監控觸發的處理：重啟停止的服務、清理已滿的硬碟、重跑失敗的備份工作。
網絡與雲端變更：防火牆規則、DNS 記錄、雲端管理控制台，以及有管理入口的交換機或無線接入點設定。

哪些問題通常需要有人到場？

物理故障：屏幕破裂、硬碟損壞、風扇、電池、接口。
供電與佈線：插座無電、跳線鬆脫或損壞、UPS 問題。
離線的網絡設備：交換機或路由器無法開機時，沒人能遠程連上。
沒有網絡或無法啟動的設備：它加入不了遠程會話。
安裝類工作：新辦公室開通、上架、搬遷設備。參見由派遣工程師完成的上架等現場工作。
需要動手確認的事：在配線櫃裡辨認線纜、確認設備型號無誤、安全報廢。
必須有人在場的事：交付手提電腦、收回離職同事的設備。

如何決定：遠程還是上門？

按順序用下面的規則。

設備或服務現在能連上嗎？不能，遠程就無法開始；派人去，或者請現場同事按指示做基本操作（重啟、重新插線）。
是物理故障嗎？上門。
修復方式是設定、帳戶、軟件或策略嗎？遠程。
修復有數據遺失風險，或會令設備長時間停用嗎？可以遠程，但先取得用戶同意並備份。
遠程嘗試已失敗兩次？按經驗法則，上門，不要再開第三次很長的遠程會話。

合理的模式是「遠程優先，例外上門」。更完整的比較請看上門與遠程 IT 支援。各支援級別分別處理什麼，見L1、L2、L3 支援分級。

遠程支援工具的安全設定清單

遠程工具功能強大，因此既是攻擊者的目標，也是冒充 IT 的騙徒常用的手法。無論用哪種工具都可以套用下面的清單。這裡以微軟關於 Quick Assist 和 Remote Help 的說明作參考（已對照 Microsoft Learn 核實，2026 年 10 月 28 日）。

只批准一種工具。列出允許的工具（例如 Intune Remote Help，或服務商自己的工具），其他的封鎖或移除。先確認租戶限制：微軟說明 Remote Help 會話不能跨租戶，協助方、用戶和設備必須在同一租戶。如果服務商用自己的租戶，要問清楚它怎樣連到你的設備；微軟建議的變通辦法是給服務台配發加入你租戶的設備，或你租戶裡的 Windows 365 或 Azure Virtual Desktop 設備。微軟建議：如果已使用其他遠程支援工具而不用 Quick Assist，就停用或移除它。
支援人員用機構帳戶登入。微軟說明，Remote Help 要求協助方和被協助方都用機構的 Microsoft Entra 帳戶登入，因此協助方不能幫助租戶以外的用戶。
支援人員帳戶啟用 MFA。可以用Conditional Access要求 Remote Help 協助方使用 MFA，或限定特定位置、合規設備（適用於由最終用戶接受的會話）。
限制誰能協助、能做到什麼程度。Remote Help 支援以角色為基礎的訪問控制，包括誰只能查看設備、誰可以請求完全控制或執行提升權限的操作。
有人值守的會話必須用戶同意。會話由用戶發起或批准。用 Quick Assist 時，協助方得到限時的安全碼，用戶必須允許屏幕共享；要控制還需要第二次批准。
同事守則：只接受自己發起的會話。微軟提醒，除非是你主動聯絡的，否則永遠不要允許自稱「IT 支援」的人連接你的設備。把這條寫進員工須知，並反覆提醒。
無人值守訪問要獨立、更嚴格。如果服務商在用戶不在場時連接，要問清楚誰有權這樣做、怎樣記錄、是否只限公司管理的設備。
審計記錄。在 Microsoft Intune admin center 可以查看 Remote Help 會話報告，審計日誌在 Tenant administration（租戶管理）> Audit logs（審計日誌）。Remote Help 預設沒有啟用，使用前必須在 Intune 裡為租戶整體開啟。其他工具請向供應商查詢對應功能。
網絡允許清單。Quick Assist 使用 443 端口和一組固定的微軟端點。開放防火牆規則前，先弄清你的工具需要什麼。
離場處理。支援人員離開或服務商合約完結時，當天就移除其訪問權限。

如果你使用別的工具，想在設備上停用 Quick Assist，微軟文件提供兩種辦法：封鎖到 https://remoteassistance.support.services.microsoft.com 的流量（這也會影響依賴同一端點的 Remote Help），或者移除該應用。

# 以管理員身份執行。來源：Microsoft Learn, Quick Assist（2026-10-28 核實）
Get-AppxPackage -Name MicrosoftCorporationII.QuickAssist | Remove-AppxPackage -AllUsers

微軟的 Remote Help 規劃頁面（2026 年 10 月 28 日核實）寫明：使用該服務的每個人，包括協助方和用戶，都需要 Remote Help 授權，並且這是在 Intune Plan 1 或 Plan 2 之外的另一項訂閱。依賴它之前，請核實現行的授權選項。另見我們對Microsoft Intune 方案的說明。

常見錯誤

在同事的手提電腦上留著所有消費級遠程工具。工具越多，攻擊途徑越多；保留一種批准的工具。
誰拿到安全碼都能加入。安全碼應當限時，並且只在核實對方身份後才提供。
沒有會話記錄。出了問題，無法說明誰、什麼時候、連了什麼。
只有遠程方案，沒有上門後備。交換機壞了或硬碟損壞，就得等預約。提前約定好派遣條款。
把上門當成失敗。有些任務本來就是物理的，提前計劃。

如何確認有效

請一位支援人員對測試設備發起會話。確認用戶被詢問是否同意，且控制需要獨立批准。
確認該會話出現在工具的會話報告或審計日誌裡。
在測試設備上確認未批准的工具已被封鎖或移除：如果已移除 Quick Assist，執行 Get-AppxPackage -AllUsers -Name MicrosoftCorporationII.QuickAssist，應當沒有返回結果。
用一個沒有登記 MFA 的非管理員協助方帳戶測試 MFA 要求；你的 Conditional Access 政策應當對該登入發起質詢。注意：微軟僅在 Windows 和 macOS 上支援對 Remote Help 使用 Conditional Access。
給同事發一條測試通知：「IT 不會向你索取密碼，也不會突然要求遠程連接。」檢查他們知道該打給誰。