启用远程协助需配置GPO路径“计算机配置→管理模板→系统→远程协助”中的“启用远程协助”策略，并根据需求启用“允许未经邀请的远程协助”及配置“从网络访问此计算机”权限；Windows家庭版不支持，须用专业版及以上版本。

在windows域环境中，通过组策略（gpo）启用和配置远程协助（remote assistance）是常见运维需求，尤其适用于it支持人员为终端用户排障。关键在于正确配置相关策略项，并注意客户端兼容性与权限控制。

启用远程协助功能

默认情况下，Windows客户端的远程协助处于禁用状态。需通过组策略启用：

• 路径：计算机配置 → 管理模板 → 系统 → 远程协助
• 启用策略：“启用远程协助”（Enable Remote Assistance）
• 该策略启用后，系统会自动打开必要的防火墙端口（TCP 3389），并允许msra.exe运行
• 注意：仅启用此策略并不自动允许“未经邀请的协助”，还需配合其他设置

允许未经邀请的远程协助（主动协助）

若需IT人员主动连接用户电脑（如批量巡检、紧急介入），需开启“未经邀请的协助”：

• 路径：计算机配置 → 管理模板 → 系统 → 远程协助 → “允许未经邀请的远程协助”
• 启用后，必须同时配置“未经邀请的远程协助权限”（即指定哪些用户/组可发起连接）
• 权限设置路径：计算机配置 → Windows设置 → 安全设置 → 本地策略 → 用户权限分配 → “从网络访问此计算机”，添加IT支持组
• 客户端需以管理员身份运行msra.exe或由管理员批准首次连接请求

限制与安全建议

远程协助虽便捷，但存在潜在风险，组策略中应同步强化管控：

• 禁用“允许远程协助连接到此计算机”策略中的“允许此计算机被远程协助”选项（若仅需主动协助，可关闭被动等待）
• 结合网络级别身份验证（NLA）：确保“远程桌面服务”→“安全层”设为“RDP安全层”或启用NLA，防止凭证中继
• 避免对全体用户开放；建议将目标计算机加入特定OU，链接专用GPO，并通过安全组筛选（WMI或安全筛选）精准应用
• Windows 10/11家庭版不支持组策略管理的远程协助，仅限专业版及以上版本

验证与故障排查要点

策略部署后，需确认生效并排除典型问题：

• 在客户端执行gpupdate /force，再运行rsop.msc或gpresult /h report.html检查策略是否已应用
• 检查服务状态：Remote Desktop Configuration 和 Remote Desktop Services 必须为“自动”并正在运行
• 防火墙日志中确认TCP 3389入站连接是否被放行（域策略中可统一配置“远程桌面”规则）
• 用户若收不到协助邀请，检查其账户是否启用了“远程协助”功能（控制面板→系统→远程设置）及是否属于“协助者”组