Ağustos 2026 Intune servis sürümüyle sessizce büyük bir kapı açıldı: Remote Help’in Windows için kullanıcısız oturum özelliği genel kullanıma geçti. Ekim’de 5.2.1210.0 sürümü de yayınlandı, kararlılık ve gözlemlenebilirlik tarafını toparladı. Teknik adıyla “unattended control: remote sign-in”. Yani yardım masası artık bir Windows cihaza, başında kimse olmasa ve kimse oturum açmamış olsa bile kendi kurumsal kimliğiyle bağlanıp işini görebiliyor.
Sahada en sık takıldığımız yerlerden biriydi bu. Gece ofiste açık kalmış bir cihaza yama geçmeniz gerekiyor, ama klasik Remote Help kullanıcının karşıda oturup “kabul et” demesini bekliyordu. Kullanıcı evde, cihaz ofiste, iş askıda. Şimdi o fren kalkıyor. Ama her fren söküldüğünde olduğu gibi kazanç bedava gelmiyor; bu kez bedeli yetki ve denetim tarafında ödüyorsunuz.
Bu yazıda özelliğin ne olduğuna, hangi cihazlarda ve hangi ön koşullarla çalıştığına, en önemlisi de onay frenini kaldırınca güvenlik kurgusunun nereye kaydığına ineceğiz.
Peki “unattended” tam olarak ne?
Klasik, yani gözetimli Remote Help oturumunda helper, kullanıcının o an açık olan ekranını görür. Birinin omzundan bakıp “şuraya tıkla” dersiniz. Kullanıcısız oturum bambaşka çalışıyor: helper cihazda ayrı, kimlik doğrulamalı yeni bir Windows oturumu açıyor. Kullanıcının ekranını paylaşmıyor, kendi kimliğiyle giriş yapıyor.
Şöyle bir benzetme yapayım: gözetimli oturum, ev sahibinin yanında durup tarif vermek gibidir. Kullanıcısız oturum ise size verilmiş yedek anahtarla eve girip işi kendiniz halletmek. İkisi de eve giriyor, ama sorumluluk ve bıraktığı iz apayrı. Microsoft da bu yeni oturumu kullanıcı kimlik doğrulaması, Intune rol tabanlı erişim ve denetimle çevrelemiş.
Oturum doğrudan Microsoft Intune admin center’dan başlatılıyor. Teknisyen portaldan cihazı seçiyor, bağlantıyı başlatıyor, karşı tarafta kimsenin bir şey yapmasına gerek kalmıyor.
Kimler, hangi cihazlar? Önce buraya bakın
Heyecanlanmadan önce kapsamı netleştirelim, çünkü burada ince bir sınır var. Kullanıcısız oturum yalnızca fiziksel, kurumsal sahipli ve Intune’a kayıtlı Windows cihazlarda çalışıyor. Bu ilk sürümde kişisel cihazlar, Cloud PC ve VDI desteklenmiyor. Sanal masaüstü filonuzu bu kapsamda düşünüyorsanız durun; en çok ihtiyaç duyulan yer orası olsa bile şimdilik dışarıda. Microsoft bu listeyi zamanla genişletebilir, ama bugün planınızı fiziksel masaüstü ve dizüstü filosu üzerine kurmanız gerekiyor.
Ön koşullar üç başlıkta toplanıyor:
- Lisans: Remote Help lisansı gerekiyor. Intune Suite eklentisiyle gelir, ya da Temmuz 2026’dan beri uygun Microsoft 365 E3 ve E5 aboneliğinizin içinde. E5’iniz varsa büyük ihtimalle hakkınız zaten var, ama çoğu kişi bunu bilmiyor.
- Cihaz tarafı ajanlar: Cihazda Intune Management Extension, Azure Virtual Desktop ajanı ve Remote Desktop ajanı hazır olmalı. Bunlar yoksa portaldan ne kadar uğraşırsanız uğraşın bağlantı kurulmaz.
- Tenant ayarı: Remote Help’in tenant genelinde etkin olması gerekiyor; varsayılan olarak kapalı gelir.
Benim sahada izlediğim sıra şu: önce tek bir test cihazında ajanları ve lisansı doğrula, bağlantıyı bir kez uçtan uca al, ondan sonra kapsamı genişlet. Ajan eksikliğini filoya açtıktan sonra fark etmek en sinir bozucu senaryodur. Bir kez test halkasında doğruladıktan sonra gerisi tekrar eden bir işe dönüşüyor.
Onay frenini kaldırınca güvenlik nereye gidiyor?
İşin kalbi burası. Kullanıcı onayı aslında sessiz bir güvenlik katmanıydı; en azından karşıda biri “evet, bu kişi bana bağlanıyor” diyordu. O katmanı kaldırınca yerine koyacağınız şey nettir, yetki ve iz.
Microsoft bunu üç ayakla kurmuş. Birincisi, kullanıcısız erişime özel yeni bir RBAC izni var. Bu izni herkese değil, yalnızca gerçekten ihtiyaç duyan kıdemli ekibe verin; normal helpdesk rolüyle karıştırmayın. İkincisi, her oturum tam kimlik doğrulamalı ve Intune admin center’da loglanıyor. Tenant Administration altındaki Audit Logs ekranında kim, hangi cihaza, ne zaman ve ne kadar süre bağlandı görebiliyorsunuz. Üçüncüsü, uyumlu olmayan cihaz için helper bağlanmadan önce uyumsuzluk uyarısı görüyor. Bu uyarı küçük görünür, ama uyumsuz bir cihaza farkında olmadan bağlanmayı engelleyen son kontrol noktasıdır.
Şimdi çoğu yazının atladığı kritik nüans. Conditional Access ve sohbet özelliği, yalnızca son kullanıcının kabul ettiği oturumlara uygulanıyor; kullanıcısız erişime uygulanmıyor. Yani “helper bağlanırken MFA istesin” diyen koşullu erişim politikanız bu oturumu kapsamaz. Politikanız sessizce devre dışı kalmaz, o senaryoyu hiç görmez. Telafisi şu: kimin bu yetkiye sahip olduğunu sıkı tutun, Audit Logs’u düzenli izlemeye alın, erişimi gerçekten gereken cihaz gruplarıyla sınırlayın.
Kullanıcı onayı gittiğinde güvenlik tek soruya iner: bu yetki kimde ve her kullanımı iz bırakıyor mu?
Kurulumun saha sırası
Dağıtıma geçmeden önce şu adımları bir test halkasında yürütmenizi öneririm:
- Lisansı doğrula: Intune Suite ya da uygun E3/E5.
- Remote Help’i tenant genelinde etkinleştir.
- Kullanıcısız erişime özel RBAC iznini yalnızca kıdemli ekibe ata.
- Test cihazında ajanları kontrol et: Intune Management Extension, AVD ajanı, Remote Desktop ajanı.
- Tek cihazda uçtan uca bir oturum al, denetim kaydını gör.
- Audit Logs izlemesini kur, sonra kapsamı genişlet.
Bu sıra sıkıcı görünebilir, ama kullanıcı onayını devreden çıkaran bir özellikte asıl maliyet yanlış kişinin eline geçen yetkidir. Beş dakikalık test, aylar sürecek bir denetim sorusunu baştan kapatır.
Bir sonraki adım
Toparlayacak olursak:
- Kullanıcısız Remote Help; mesai dışı yama, kiosk cihazlar ve kullanıcının oturum açamadığı durumlar için gerçek bir boşluğu kapatıyor.
- Yalnızca fiziksel, kurumsal, Intune kayıtlı Windows cihazlarda çalışıyor; lisans ve cihaz ajanları ön koşul.
- Güvenlik artık onayda değil, RBAC izninde ve denetim kaydında; Conditional Access bu oturumları kapsamıyor.
Benim baştan söyleyeceğim şey net: bu özelliği açın, ama izni dar tutup Audit Logs’u izleme planınıza koymadan filoya yaymayın. Siz kendi ortamınızda kullanıcısız oturumu hangi senaryoda kullanırdınız, gece yamaları mı yoksa kiosk cihazlar mı? Sorularınız olursa yorumlarda buluşalım.
