ボリューム ライセンス認証の計画

製品のライセンス認証 は、特定のコンピューターにインストールされた後、製造元とソフトウェアを検証するプロセスです。 ライセンス認証は、製品が正規品であり、不正なコピーではないことを確認します。 ライセンス認証では、プロダクト キーまたはシリアル番号が有効であり、侵害または取り消されていないことも確認します。 ライセンス認証では、プロダクト キーと特定のインストールの間のリンクまたは関係も確立されます。

ライセンス認証プロセス中に、特定のインストールに関する情報が確認されます。 オンライン ライセンス認証の場合、この情報は Microsoft のサーバーに送信されます。 この情報には、ソフトウェアのバージョン、プロダクト キー、コンピューターの IP アドレス、デバイスに関する情報が含まれる場合があります。 Microsoft が使用するライセンス認証方法は、ユーザーのプライバシーを保護するために設計されており、コンピューターまたはユーザーへの追跡には使用できません。 収集したデータにより、そのソフトウェアが合法的にライセンス供与されたコピーであることが確認されます。また、このデータは、統計分析のために使われます。 Microsoft では、この情報を使用してユーザーまたは組織を特定したり、連絡したりすることはありません。

配布チャネルとライセンス認証

一般に、Microsoft のソフトウェアは、販売店、相手先ブランド供給 (OEM)、およびボリューム ライセンス契約という、3 つの主要なチャネル経由で入手します。 各チャネルを通じて、さまざまなライセンス認証方法が用意されています。 組織は、複数のチャネル経由で (一部のソフトウェアは販売店から購入し、それ以外はボリューム ライセンス プログラムを通じて、など) 自由にソフトウェアを入手できるため、ほとんどの組織では、複数のライセンス認証方法を組み合わせて使っています。

販売ライセンス認証

小売ライセンス認証の場合、購入した各コピーには 1 つの一意のプロダクト キー (多くの場合、小売キーと呼ばれます) が付属しています。 ユーザーは、製品のインストール中にこのキーを入力します。 コンピューターは、インストール完了後に、この販売キーを使ってライセンス認証を完了します。 ほとんどのライセンス認証は、オンラインで実行されますが、電話でライセンス認証を実行することもできます。

その他の配布シナリオも存在します。 プロダクト キー カードは、プレインストールまたはダウンロードされた製品をアクティブ化するために使用できます。 Windows Anytime Upgrade や Get Genuine などのプログラムでは、ユーザーが、ソフトウェアとは別に、適正なキーを取得できます。 これらの電子的に配布されたキーには、ソフトウェアを含むメディアが付属している場合や、ソフトウェアの出荷として提供される場合や、印刷されたカードまたは電子コピーで提供される場合があります。 製品には、これらの製品版のキーのどれを使っても、同じ方法でラインセンス認証が実行されます。

Original Equipment Manufacturer (相手先ブランド供給)

ほとんどの相手先ブランド供給 (OEM) では、Windows オペレーティング システムの標準ビルドを搭載したシステムを販売しています。 ハードウェア ベンダーは、オペレーティング システムをコンピューターのファームウェア/BIOS に関連付けることにより、Windows をアクティブにします。 このアクティブ化は、コンピューターが顧客に送信される前に行われ、追加のアクションは必要ありません。

OEM ライセンス認証は、ユーザーがシステム上で、OEM から提供されたイメージを使用している限り有効です。 OEM ライセンス認証は、OEM チャネル経由で購入され、Windows オペレーティング システムがプレインストールされているコンピューターでのみ使用できます。

ボリューム ライセンス

ボリューム ライセンスでは、組織の規模や購入方法に合わせてカスタマイズされたプログラムが用意されています。 ボリューム ライセンスのお客様になるには、組織が Microsoft とボリューム ライセンス契約を設定する必要があります。 ボリューム ライセンスを使用して新しいコンピューターのライセンスを取得する場合、一般的な誤解があります。 新しいコンピューターの完全な Windows クライアント ライセンスを取得する適正な方法は、2 つあります。

• OEM 経由でプレインストールされているライセンスを入手する。
• 完全にパッケージ化されて販売されている製品を購入する。

Open License、Select License、および Enterprise Agreement などのボリューム ライセンス プログラムを通じて提供されるライセンスに含まれるアップグレードは、Windows クライアント オペレーティング システムへのアップグレードのみです。 ボリューム ライセンスを使用して取得したアップグレード権を行使する前に、現在サポートされているバージョンの Windows を実行しているコンピューターごとに、既存のリテールまたは OEM オペレーティング システム ライセンスが必要です。

ボリューム ライセンスは、Microsoft Partner Network や Visual Studio Codespace などの特定のサブスクリプションまたはメンバーシップ プログラムでも利用できます。 これらのボリューム ライセンスには、ボリューム ライセンスに適用される一般的な条件に対する特定の制限やその他の変更が含まれている場合があります。

ライセンス認証モデル

ユーザーまたは IT 部門にとっては、販売チャネルまたは OEM チャネルを通じて入手した製品のライセンス認証の方法に関する重要な選択肢はありません。 OEM はファクトリでライセンス認証を実行し、ユーザーまたは IT 部門はライセンス認証の手順を実行する必要はありません。

小売製品の場合、このガイドで後述するボリューム ライセンス認証管理ツール (VAMT) は、キーの追跡と管理に役立ちます。 小売ライセンス認証ごとに、次のオプションを選択できます。

• オンラインでのライセンス認証
• 電話によるアクティブ化。
• VAMT プロキシのアクティブ化。

電話によるライセンス認証は、主に、すべてのネットワークからコンピューターが分離されている場合に使用されます。 小売キーを使用した VAMT プロキシ ライセンス認証は、IT 部門が小売ライセンス認証を一元化する場合に使用される場合があります。 VAMT は、オペレーティング システムの製品版のコンピューターがインターネットから分離されているが LAN に接続されている場合にも使用できます。 ただし、ボリューム ライセンス製品の場合は、環境で使用する最適な方法または方法の組み合わせを決定する必要があります。 現在サポートされている Windows Pro および Enterprise のバージョンでは、次の 3 つのモデルのいずれかを選択できます。

• 複数のアクティブ化キー (MAK)。
• KMS。
• Active Directory ベースのアクティブ化。

マルチ ライセンス認証キー (MAK)

複数ライセンス認証キー (MAK) は、ボリューム ライセンス契約を結んでいますが、KMS を運用するための要件を満たしていない小規模または中規模の組織でよく使用されます。 MAK は、より単純な方法が推奨される場合にも使用できます。 MAK では、次の永続的なアクティブ化も許可されます。

• KMS から分離されたコンピューター。
• KMS を使用するのに十分なコンピューターがない分離ネットワークの一部であるコンピューター。

MAK を使うには、ライセンス認証を実行するコンピューターに MAK がインストールされている必要があります。 MAK は、電話または VAMT プロキシ ライセンス認証を使って、Microsoft のオンラインでホストされたライセンス認証サービスでの 1 回限りのライセンス認証に使用されます。

最もシンプルな条件では、MAK が販売キーのように機能します。ただし、MAK は、複数のコンピューターのライセンス認証にも有効です。 各 MAK は、特定の回数だけ使用できます。 VAMT は、各キーで実行されたアクティブ化の数と、残っているアクティブ化の数を追跡するのに役立ちます。

組織は、MAK および KMS キーをボリューム ライセンス サービス センター Web サイトからダウンロードできます。 各 MAK には、組織が購入したライセンスの数の割合に基づく、事前設定されたライセンス認証の数があります。 ただし、使用可能なライセンス認証の数は、Microsoft を呼び出すことによって MAK で増やすことができます。

キー管理サービス

キー管理サービス (KMS) により、IT 担当者はローカル ネットワーク上でライセンス認証を完了できるため、製品のライセンス認証のために個々のコンピューターを Microsoft に接続する必要がなくなります。 KMS は、専用システムを必要としない軽量のサービスであり、他のサービスを提供するシステムで簡単に共同ホストできます。

現在サポートされているバージョンの Windows および Windows Server のボリューム エディションは、KMS をホストするシステムに自動的に接続してライセンス認証を要求します。 ユーザーによる操作は必要ありません。

KMS には、ネットワーク環境のコンピューター (物理コンピューターまたは仮想マシン) の最小数が必要です。 現在サポートされているバージョンの Windows Server をアクティブ化するには少なくとも 5 台のコンピューター、現在サポートされているバージョンの Windows クライアントを実行しているクライアント コンピューターをアクティブ化するには、少なくとも 25 台のコンピューターが必要です。 これらの最小値は、ライセンス認証のしきい値 と呼ばれます。

KMS を使用する計画には、KMS ホストに最適な場所と、使用する KMS ホストの数の選択が含まれています。 1 つの KMS ホストで多数のライセンス認証を処理できますが、多くの場合、組織は可用性を確保するために 2 つの KMS ホストをデプロイします。 KMS は、クライアント コンピューターまたはサーバーでホストできます。 KMS の設定については、このガイドの後半で説明します。

Active Directory によるライセンス認証

Active Directory ベースのアクティブ化は、KMS を使用したアクティブ化に似ていますが、アクティブ化されたコンピューターは KMS ホストとの定期的な接続を維持する必要はありません。 代わりに、現在サポートされているバージョンの Windows または Windows Server を実行しているドメイン参加済みコンピューターは、ドメインに格納されているボリューム ライセンス認証オブジェクトに対して ADDS を照会します。 オペレーティング システムは、ライセンス認証オブジェクトに含まれているデジタル署名をチェックし、その後、そのデバイスのライセンス認証を実行します。

Active Directory によるライセンス認証を使うと、企業は、自社ドメインへの接続を利用してコンピューターのライセンス認証を実行できます。 多くの企業は、リモートまたはブランチの場所にコンピューターを持っています。KMS に接続するのは現実的ではないか、KMS ライセンス認証のしきい値に達しません。 ACTIVE Directory ベースのライセンス認証では、MAK を使用するのではなく、現在サポートされているバージョンの Windows と Windows Server を実行しているコンピューターを、コンピューターが会社のドメインに接続できる限りアクティブ化する方法が提供されます。 Active Directory ベースのアクティブ化では、既にドメイン プレゼンスがある場所のどこでもボリューム ライセンス認証サービスを拡張できるという利点があります。

ネットワークと接続性

最新のビジネス ネットワークには、多くのニュアンスや相互接続があります。 このセクションでは、組織のネットワークと、ボリュームライセンス認証がどのように行われるかを判断するために使用できる接続を評価する方法について説明します。

コア ネットワーク

組織のコア ネットワークは、インフラストラクチャ サーバーへの安定した高速で信頼性の高い接続を実現するネットワークの一部です。 多くの場合、コア ネットワークもインターネットに接続されます。 ただし、インターネット接続は、KMS サーバーまたは ADDS を構成してアクティブにした後に、KMS または Active Directory ベースのアクティブ化を使用する必要はありません。 組織のコア ネットワークは、多くのネットワーク セグメントで構成されている可能性があります。 多くの組織では、コア ネットワークがビジネス ネットワークの大部分を構成しています。

コア ネットワークでは、一元化された KMS ソリューションが推奨されます。 Active Directory ベースのアクティブ化を使用することもできますが、多くの組織では、ドメインに参加していないコンピューターに KMS が引き続き必要になる場合があります。 一部の管理者は、最大の柔軟性を求めて、両方のソリューションを利用しようとしますが、わかりやすいように、KMS ベースのソリューションのみを選ぶ管理者もいます。 組織内のすべてのクライアントが現在サポートされているバージョンの Windows を実行している場合、唯一のソリューションとしての Active Directory ベースのアクティブ化は実行可能です。

図 1 は、KMS ホストを含む一般的なコア ネットワークを示しています。

図 1. 一般的なコア ネットワーク

分離ネットワーク

大規模なネットワークでは、セキュリティ上の理由から、または地域や接続の問題のために、一部のセグメントが分離される可能性があります。

セキュリティのための分離

ファイアウォールによってコア ネットワークから分離されたネットワーク セグメント、または他のネットワークから切断されたネットワーク セグメントは、 高セキュリティ ゾーンと呼ばれることもあります。 分離ネットワーク内のコンピューターのライセンス認証に最も適したソリューションは、組織で使用されているセキュリティ ポリシーによって異なります。

分離されたネットワークで次のことができます。

• TCP ポート 1688 で送信要求を使用してコア ネットワークにアクセスする
• リモート プロシージャ 呼び出し (RPC) の受信が許可されます

アクティブ化は、コア ネットワークの KMS を使用して実行できるため、追加のアクティブ化しきい値に達する必要がなくなります。

分離されたネットワークが企業フォレストに完全に参加し、次のような一般的なドメイン コントローラーへの接続を行うことができる場合:

• クエリにライトウェイト ディレクトリ アクセス プロトコル (LDAP) を使用する
• 名前解決にドメイン ネーム サービス (DNS) を使用する

このシナリオは、現在サポートされているバージョンの Windows と Windows Server で Active Directory ベースのライセンス認証を使用する良い機会です。

分離ネットワークがコア ネットワークの KMS サーバーと通信できない場合、Active Directory ベースのライセンス認証を使用できない場合は、分離ネットワークで KMS ホストを設定できます。 この構成を図 2 に示します。 ただし、分離されたネットワークに含まれるコンピューターが少ない場合、KMS ライセンス認証のしきい値には達しません。 その場合は、アクティブ化に MAK を使用できます。

ネットワークが完全に分離されている場合は、電話オプションを使用して MAK 非依存のライセンス認証を選択することをお勧めしますが、VAMT プロキシのアクティブ化も可能な場合があります。 また、MAK を使用して、分離されたネットワークに配置される前に、セットアップ中に新しいコンピューターをアクティブ化することもできます。

図 2. 分離ネットワーク内の新しい KMS ホスト

ブランチ オフィスと遠隔ネットワーク

鉱業から海上での船舶まで、多くの場合、組織には、コア ネットワークやインターネットに簡単に接続できないコンピューターがいくつか存在します。 一部の組織では、ブランチ オフィスのネットワーク セグメントが大規模で、社内の接続は良好であるものの、組織の残りの部分との WAN リンクが低速であるか、信頼性が低い場合があります。 このような状況では、いくつかのオプションがあります。

• Active Directory によるライセンス認証。 クライアント コンピューターが現在サポートされているバージョンの Windows を実行しているサイトでは、Active Directory ベースのライセンス認証がサポートされており、ドメインに参加することでアクティブ化できます。

• ローカル KMS。 サイトに 25 台以上のクライアント コンピューターがある場合は、ローカル KMS サーバーに対してライセンス認証を実行できます。

• リモート (コア) KMS。 リモート サイトが既存の KMS (仮想プライベート ネットワーク (VPN) を介してコア ネットワークに接続している場合は、その KMS を使用できます。 既存の KMS を使用すると、ライセンス認証のしきい値はそのサーバーでのみ満たされる必要があることを意味します。

• MAK ライセンス認証。 サイト内のコンピューター数がわずかであり、既存の KMS ホストに接続できない場合、最適な選択肢は MAK ライセンス認証です。

接続が切断されたコンピューター

一部のユーザーは、リモートの場所にいる場合や、多くの場所に移動する場合があります。 これは、営業担当者、またはブランチ オフィス以外のオフサイトのユーザーが使用するコンピューターなど、移動するクライアントの場合に一般的なシナリオです。 このシナリオは、コア ネットワークに接続できないリモート ブランチ オフィスにも適用できます。 このブランチ オフィスは、コンピューターの数が 1 である "分離ネットワーク" と見なすことができます。 切断されたコンピューターは、コンピューターがコア ネットワークに接続する頻度に応じて、Active Directory ベースのアクティブ化、KMS、または MAK を使用できます。

Active Directory ベースのアクティブ化は、次の条件を満たすコンピューターで使用できます。

• コンピューターがドメインに参加しています。
• コンピューターは、現在サポートされているバージョンの Windows または Windows Server を実行しています。
• コンピューターは、180 日ごとに少なくとも 1 回、直接または VPN 経由でドメインに接続します。

ネットワークにほとんど接続しない、またはネットワークに接続しないコンピューターの場合は、電話またはインターネット経由で MAK の独立したライセンス認証を使用する必要があります。

テスト ラボと開発ラボ

ラボ環境には、多くの場合、多数の仮想マシンがあり、ラボ内の物理コンピューターと仮想マシンは頻繁に再構成されます。 そのため、まず、テスト ラボおよび開発ラボ内のコンピューターにライセンス認証が必要かどうかを判断します。 ボリューム ライセンスを含む Windows の現在サポートされているエディションは、すぐにアクティブ化できない場合でも正常に動作します。

オペレーティング システムのテストまたは開発コピーがライセンス契約内にある場合は、ラボ コンピューターを頻繁に再構築する場合にアクティブ化する必要がない可能性があります。 ラボ コンピューターをアクティブ化する必要がある場合は、ラボを分離されたネットワークとして扱い、このガイドで前述した方法を使用します。 コンピューターの売上高が高く、数 KMS クライアントがあるラボでは、KMS ライセンス認証の数を監視する必要があります。 KMS がアクティブ化要求をキャッシュする時間を調整する必要がある場合があります。 既定値は 30 日です。

ネットワークをアクティブ化方法にマッピングする

ネットワーク接続と各サイトのコンピューターの数を評価することで、最適に動作するアクティブ化方法を決定するために必要な情報を決定できます。 この情報は、この決定を行うために表 1 に入力できます。

表 1. ライセンス認証方法の条件

キーの選択と取得

必要なキーがわかっている場合は、キーを取得する必要があります。 一般に、ボリューム ライセンス認証キーは、2 つの方法で収集されます。

• Open、Open Value、Select、Enterprise、および Services Provider License の契約の場合は、ボリューム ライセンス サービス センターの [プロダクト キー] セクションにアクセスします。

• Microsoft ライセンス認証センターにお問い合わせください。

KMS ホスト キー

KMS ホストには、Microsoft で KMS ホストのライセンス認証 (つまり、認証) を実行するキーが必要です。 このキーは KMS ホスト キーと呼ばれますが、正式には Microsoft 顧客固有ボリューム ライセンス キー (CSVLK) と呼ばれます。 一部のドキュメントやインターネット参照では KMS キーという用語が使用されていますが、CSVLK は現在のドキュメントと管理ツールの適切な名前です。

現在サポートされているバージョンの Windows Server を実行している KMS ホストは、Windows Server と Windows クライアント の両方のオペレーティング システムをアクティブ化できます。 このガイドで後述するように、ADDS でアクティブ化オブジェクトを作成するには KMS ホスト キーも必要です。 設定されている KMS には、KMS ホスト キーが必要です。 さらに、Active Directory ベースのアクティブ化が使用されるかどうかを判断する必要があります。

汎用ボリューム ライセンス認証キー

カスタム インストール メディアまたはイメージを使用して Windows をインストールするときに KMS または Active Directory ベースのライセンス認証でコンピューターをアクティブ化する場合は、カスタム インストール メディアまたはイメージを作成するときに汎用ボリューム ライセンス キー (GVLK) をインストールします。 GVLK は、インストールされている Windows のエディションと一致する必要があります。

Windows オペレーティング システムの Microsoft for Enterprise エディションのインストール メディアには、GVLK が既に含まれている可能性があります。 1 つの GVLK は、インストールの種類ごとに使用できます。 GVLK は、Microsoft ライセンス認証サーバーに対してソフトウェアをアクティブ化するのではなく、KMS または Active Directory ベースのアクティブ化オブジェクトに対してアクティブ化します。 つまり、有効な KMS ホスト キーが見つからない限り、GVLK は機能しません。 GVLK は、機密を保持する必要のない唯一のプロダクト キーです。

通常、コンピューターが次の場合を除き、GVLK を手動で入力する必要はありません。

• MAK キーまたはリテール キーを使用してアクティブ化されます。
• KMS ライセンス認証または Active Directory ベースのアクティブ化に変換される。

特定のクライアント エディションの GVLK を配置する必要がある場合は、「 キー管理サービス (KMS) クライアントのアクティブ化とプロダクト キー」を参照してください。

マルチ ライセンス認証キー

使用可能なアクティブ化の適切な数を持つ MAK キーも必要です。 MAK が使用された回数は、ボリューム ライセンス サービス センターの Web サイトまたは VAMT で確認できます。

KMS ホストの選択

KMS には専用サーバーは必要ありません。 これは、ADDS ドメイン コントローラーや読み取り専用ドメイン コントローラーなど、他のサービスと共同ホストできます。

KMS ホストは、サポートされている Windows オペレーティング システムを実行している物理コンピューターまたは仮想マシンで実行できます。 現在サポートされているバージョンの Windows Server を実行している KMS ホストは、ボリュームのアクティブ化をサポートする任意の Windows クライアントまたはサーバー オペレーティング システムをアクティブ化できます。 現在サポートされているバージョンの Windows クライアントを実行している KMS ホストでは、現在サポートされているバージョンの Windows クライアントを実行しているコンピューターのみをアクティブ化できます。

1 台の KMS ホストがサポートできる KMS クライアントの数に制限はありませんが、Microsoft では、フェールオーバー用に 2 台以上の KMS ホストを展開することをお勧めします。 ただし、Active Directory ベースのアクティブ化によってアクティブ化されるクライアントが増えるので、KMS と KMS の冗長性は必要ない場合があります。 ほとんどの組織では、2 台の KMS ホストを使うと、そのインフラストラクチャ全体に対応できます。

KMS ライセンス認証のフローを図 3 に示します。これは、次の手順で実行されます。

1. 管理者が、VAMT コンソールを使って KMS ホストを構成し、KMS ホスト キーをインストールします。

2. Microsoft が KMS ホスト キーを検証し、KMS ホストが要求のリッスンを開始します。

3. KMS ホストが DNS リソース レコードを更新して、クライアントが KMS ホストを検出できるようにします。 環境で DNS 動的更新プロトコルがサポートされていない場合は、DNS レコードを手動で追加する必要があります。

4. GVLK で構成されているクライアントが、DNS を使用して KMS ホストを検出します。

5. クライアントが、1 つのパケットを KMS ホストに送信します。

6. KMS ホストが、要求元のクライアントに関する情報を (クライアント ID を使って) 記録します。 クライアント ID を使って、クライアントのカウントが維持され、同じコンピューターが再度ライセンス認証を要求していることが検出されます。 クライアント ID は、ライセンス認証のしきい値に達しているかどうかを判断するためにのみ使われます。 ID は永続的に保存されたり、Microsoft に送信されたりすることはありません。 KMS が再起動された場合は、クライアント ID の収集が再開されます。

7. KMS ホストに、GVLK 内の製品と一致する KMS ホスト キーがある場合は、KMS ホストが、1 個のパケットをクライアントに返送します。 このパケットには、この KMS ホストからのライセンス認証を要求したコンピューターの数が含まれます。

8. この数が、ライセンス認証を実行中の製品のライセンス認証のしきい値を超えると、クライアントのライセンス認証が実行されます。 アクティブ化のしきい値が満たされていない場合、クライアントはもう一度試行します。

図 3. KMS ライセンス認証フロー

関連するコンテンツ

• Windows のボリューム ライセンス認証。