Sessions assistées : fonctionnement

Principe

Une session assistée met en relation un technicien et un utilisateur présent devant son poste. Le technicien voit l’écran, contrôle la souris et le clavier, et peut proposer des transferts de fichiers. Tout passe par le port 443, en TLS 1.3 : aucun port entrant n’est requis côté utilisateur.

Étape par étape

Le technicien crée la session depuis la console. Un code à 6 chiffres est généré, valable une seule fois et limité dans le temps.
L’utilisateur saisit le code sur la page Rejoindre une session ou dans le client.
Le client temporaire démarre. Il ne s’installe pas : aucun privilège administrateur n’est requis, rien ne subsiste après fermeture.
L’utilisateur accepte la prise de main. L’écran est partagé et le contrôle est donné au technicien. L’utilisateur peut reprendre la main et fermer la session à tout moment.
La session se clôt. Le client se ferme, le partage d’écran s’arrête et la session est journalisée.

Le code à 6 chiffres

Le code est l’unique secret de la session côté utilisateur. Quelques règles :

communiquez-le de vive voix ou par un canal distinct de la session elle-même ;
il expire s’il n’est pas utilisé et un code rejeté n’est pas réutilisable ;
les tentatives de saisie sont limitées côté serveur.

Le client temporaire

Le client temporaire est un exécutable signé, téléchargeable depuis Télécharger. Il :

s’exécute sans installation et sans droits élevés ;
ne s’auto-démarre jamais ;
se termine avec la session et ne laisse aucun service résiduel.

Transfert de fichiers

Le transfert de fichiers est soumis à une confirmation obligatoire de l’utilisateur : le technicien propose, l’utilisateur accepte ou refuse, fichier par fichier. Cette confirmation ne peut pas être désactivée par le technicien, et chaque décision est journalisée.

Qualité d’affichage

Le flux est affiché jusqu’en 4K à 60 images par seconde quand le poste et la connexion le permettent. La qualité s’adapte automatiquement à la bande passante disponible.

Enregistrement

L’enregistrement des sessions est disponible à partir du plan Pro. Les enregistrements sont stockés dans la région de résidence de l’espace. Annoncez l’enregistrement à l’utilisateur avant de le lancer.

Après la session

Chaque session alimente le journal d’audit chaîné : identité du technicien, code utilisé, appareil, début et fin, transferts et confirmations. Ce journal est exportable vers un SIEM. Voir Modèle de sécurité et chiffrement.

Prérequis

une connexion internet avec HTTPS sortant sur le port 443 ;
un navigateur récent ou le client téléchargé ;
le code à 6 chiffres, fourni par le technicien.

Aucun port entrant, aucun VPN et aucun logiciel installé ne sont requis côté utilisateur. Si un utilisateur a besoin d’aide sur une machine où toute installation est bloquée par la politique locale, le client temporaire est conçu pour ce cas : il s’exécute sans installation.

Session assistée ou accès non surveillé ?

Choisissez la session assistée quand un utilisateur peut confirmer les actions sur place. Choisissez l’accès non surveillé pour les serveurs, les bornes et les machines sans personne devant l’écran. Les deux modes partagent le même chiffrement, la même MFA et le même journal d’audit.

Bonnes pratiques

N’ouvrez jamais une session vers un utilisateur qui ne l’a pas demandée : le code est toujours saisi côté utilisateur.
Demandez à l’utilisateur de fermer les applications contenant des données sensibles avant la prise de main.
Pour les machines sans utilisateur, utilisez l’accès non surveillé plutôt qu’une session assistée.