Активация Windows - KMS vs AD
Содержание лекции: Активация Windows - KMS vs AD
Расшифровка лекции: Активация Windows - KMS vs AD
Полный текст первых минут лекции «Активация Windows - KMS vs AD» из видеокурса PracticU – субтитры с временной меткой для каждого абзаца. Так можно прочитать и найти нужные темы ещё до начала обучения.
Добро пожаловать на лекцию про активацию для организаций. Мы говорим про Volume License для Enterprises. Я хочу вам напомнить то, что надо сделать активацию и для Windows, и для Office, Word, Excel.
Весь пакет требует активации. Активация – это значит, что у нас есть лицензия законная на этот продукт и на Windows, и на Office.
Если я не куплю лицензию и не сделаю активацию, это будет незаконно использовать, но ничего ужасного не произойдет. Все, что будет, это такое раздражающее сообщение на экране.
Вот видите, у меня справа здесь, что требуется активация, и оно будет все время постоянно на экране. И иногда будут такие сообщения прыгать, что нужно сделать активацию, и я не смогу сделать персонализацию в контроль панели, не смогу сделать свой фон, не смогу там таскбар внизу, спрятать часы.
То есть не смогу кастомизировать внешний вид Windows. Это все. Только вот это вот сообщение внизу, которое раздражает, и то, что я не могу сделать персонализацию фотографий своей семьи на фоне.
С точки зрения технической ничего ужасного не произойдет. Если я решил купить лицензию, то мне ее надо в Activation Settings в контроль панели, там где Update and Security, активация, вот здесь вот есть ссылочка вставить Product Key, серийник, сериальный номер.
Я могу его купить в магазине, я могу купить в магазине Майкрософта и он автоматом будет активизирован. Если я уже до этого покупал его и активизировал, то я смогу присоединить свою старую лицензию к новому компьютеру.
То есть я смогу с помощью Troubleshooter переключить существующую лицензию на новый компьютер, но для этого надо, чтобы компьютер был подсоединен в Microsoft аккаунт.
В Microsoft аккаунте сохранены все мои купленные лицензии. Вот видите, в моем физическом компьютере написано, что я подсоединен к своему Microsoft аккаунту и мои лицензии ходят вместе со мной.
Это все возможно на лицензиях не OEM. Лицензии OEM идут только с компьютером. Их невозможно прикрутить на новую железо. А ритейл лицензии можно. То есть у Microsoft есть два вида лицензий, которых я могу купить.
Я могу купить и ритейл, ритейл это как упаковка Windows, это коробка, на которой есть номер или просто только номер купить и он со мной переходит между разными моими компьютерами, то есть я могу через 2 года выкинуть этот компьютер в помойку, купить новый и прикрутить лицензию ритейла своего на новый мой компьютер, перенести
ее. Это потому что я купил дорогую лицензию в магазине. А если я купил OEM лицензию, лицензия, которая идет с моим компьютером уже из завода, вот эти вот OEM лицензии, их невозможно перенести на новую материнку.
С точки зрения Microsoft это все очень просто, потому что они у себя на сервере сохраняют номер материнки, номер hardware ID и номер лицензии. То есть у них все это сохранено.
Я, кстати, могу запустить эту команду и посмотреть, какой у меня тип лицензии сейчас на компьютере. Из-за того, что Microsoft все сохраняют на своих серверах, то есть они сохраняют ID, идентификатор моей материнской платы, моего компьютера и мою лицензию, они могут либо разрешить поменять материнскую
плату, либо не разрешить. Вот и все. Если я форматирую компьютер, то он автоматом пройдет активацию, потому что мой идентификатор материнки остается один и тот же.
То есть на форматирование не проблема. Короче, Microsoft у себя на сервере сохраняют 25 символов моей лицензии. То есть они сохраняют мою лицензию и сохраняют мою материнку.
И они знают, что вот для такой материнской плате такая лицензия. И автоматом активируют после форматирования. А если я хочу переключить на новый Hardware ID, на новую железку, Если это OEM лицензии, они не дадут, если это ритейл, то они дадут.
Microsoft знают о всех активациях, которые происходят, за исключением особого вида активации, о которых мы поговорим ровно через 2 минутки.
Это история для обычных клиентов, которые проходят через Microsoft и через их сервера. Но внутри организации все по-другому, и мы сейчас об этом поговорим.
Еще важно сказать, что я могу свою лицензию, кроме того, что я ее подключаю к материнке, подключить ее к своему аккаунту в Microsoft.
Если я ее подсоединяю к своему аккаунту Microsoft, то я смогу ее переносить на новую железку. И вот видите, в этом Windows ее нет и есть кнопочка здесь Sign in Microsoft Account.
То есть я могу подключить свою учетную локальную запись к своему Microsoft аккаунту, к своей учетной записи в Microsoft, и тогда учетная запись в Microsoft сохранит мою лицензию.
И тогда я смогу переносить эту лицензию на другой компьютер, конечно, если это Retail. Так, давайте поговорим про Mac. Mac это такая же лицензия, такие же 25 символов, 5 на 5 кода, но можно ее много раз использовать.
То есть она не одноразовая, как обычная лицензия ритейл, а это ритейл многоразовый, он может быть активирован 100 раз, 200 раз, 1000 раз, 5000 раз, смотря сколько денег мы заплатили Microsoft.
То есть мы можем позвонить в Microsoft, сказать, дайте мне один ключик, который мне активирует 100 компьютеров, чтобы мне было удобно, чтобы мне не покупать 100 разных ключиков отдельно, то есть этих номеров, этих серийников.
И один и тот же ключик будет активировать мне энное количество компьютеров. Нет никакой проблемы купить такую лицензию и на тысячу компьютеров. Но все равно это все будет сохранено в Майкрософте.
Все равно идентификатор моей материнки будет в Майкрософте и вся активация будет через их сервер. И будет учет, сколько я использовал. А есть другой способ без Майкрософта вообще.
Я могу установить сервер активации у себя внутри фирмы и не использовать сервер Майкрософта. И это называется KMS, Key Management Server.
Это сервер активации в свой личный, то есть я могу вместо Майкрософта активировать свои рабочие станции. Майкрософт, конечно, этого очень боятся, что люди начнут активировать у себя незаконных кучу Windows, и поэтому сделали разные ограничения.
Первое ограничение, что надо минимум 25 рабочих станциях. Надо открыть порт 1688 и надо прописать в DNS запись. И так рабочая станция через DNS находит этот KMS-сервер.
Заметьте, порт 1688 Microsoft все время проверяют, что он закрыт и в интернете недоступен, потому что они очень боятся, что кто-то в интернете откроет такой сервер И он сможет сделать всем людям в мире активацию Так, кстати, работают разные программы взлома Windows
Они ничего не взламывают Они всего лишь устанавливают на виртуальную машину вот этот KMS-сервер И мой личный компьютер домашний активируется с моим же KMS-сервером Как будто бы у меня есть большая организация прямо дома
И так взламывается Windows, не взламывая его Мы его обманываем через виртуальный KMS-сервер Более удобный способ активировать Windows в организации – это с помощью Active Directory. Этот способ существует только начиная с Windows 8, то есть во времена Windows 7 не было возможности активировать через Active Directory,
поэтому все устанавливали KMS. Начиная с Windows 8 они сделали очень удобный Active Directory Based Activation, то есть нам теперь не нужен этот KMS-сервер, у нас нет минимального количества компьютеров, нам не надо ничего прописывать в DNS, потому что активация происходит через
центральное наше управление, через DNS, через Active Directory, и нам не нужен отдельный порт, потому что активация проходит через Active Directory, через Domain Controller, через централизованное управление. Проблема этого Active Directory Based Activation, что он требует,
чтобы компьютер был внутри домейна, в нашем домине и централизованно управлялся. Если наш компьютер не часть домейна, он находится физически в нашей сети, но не подключен в центральное управление домейном, то мы не можем использовать эту систему и нам приходится использовать старый KMS. Этот Active
Directory Based Activation намного-намного удобней, потому что рабочей станции ничего не надо делать, не надо открывать ни порты, как в KMS, не прописывать ничего в DNS, не ждать 25 компьютеров, чтобы подключились. Это все не надо.
Но в Active Directory Based Authentication тоже надо каждые 180 дней проходить реавторизацию. Еще раз, и KMS, и Active Directory Based Activation, два способа требует раз в полгода проходить еще раз активацию, потому что активация происходит без Microsoft, она происходит только внутри моей организации, Microsoft не знает, что я активировал кучу
компьютеров, и поэтому они говорят, хорошо, ты активируешь сколько хочешь компьютеров, но знай, что они должны быть внутри твоей сети, и мы это будем проверять каждые полгода, максимум.
В принципе по умолчанию там раз в неделю он пытается еще раз делать активацию, но если полгода он не достучался до KMS или до domain контроллера, до Active Directory, через полгода Windows становится неактивированным и опять начинается вот это вот сообщение на экране.
Короче, Microsoft разрешают нам активировать сколько хотим компьютеров, не общаясь с ними вообще, но с условием, что это внутри нашей организации, что это внутри нашей сети.
И раз в полгода мы это проверяем, что ты не просто активировал соседа, который пришел к тебе на 5 минут, ушел и ты ему подарил лицензию, чтобы такого не было. Более того, есть Windows, как Windows 10 Enterprise, которые требуют такую активацию Volume License, которых нельзя купить в магазине, в ритейл или OEM у производителя.
Только Volume License можно установить на версию Windows 10 Enterprise, то есть это как бы улучшенная версия для больших организаций. Я еще раз хочу подчеркнуть, что самое лучшее это Active Directory Based Activation.
Я вам покажу, как ее установить через несколько минут. KMS тоже очень удобный для фирм, потому что у нас в этих двух способах есть неограниченное количество активаций.
А в Mac нам считают, сколько активаций мы сделали. Вот эти вот два способа фирмы очень-очень любят, потому что Microsoft нам говорят, Мы на вас полагаемся, делайте сколько вы хотите активаций, не надо нам звонить, не надо ничего считать, ну там раз в год купите лицензии, чтобы если будет проверка, вам не дали штраф.
Но с точки зрения технической, Microsoft разрешают делать неограниченное количество активаций. Неограниченное количество. И мне как сисадмину это очень-очень удобно, потому что мне не надо думать об активациях.
У меня внутри организации все активируется. Но, чтобы этим не злоупотреблять, запрещено открывать этот порт 1688 в интернет.
Запрещено их публицировать, потому что люди с улицы смогут активировать свой Windows, как будто бы они внутри моей организации, поэтому Microsoft очень беспокоится об этом и запрещают открывать этот порт в интернет.
Если я хочу там кого-то из дома активировать, он должен сделать VPN в мою организацию. Короче, нельзя в интернет открывать порт KMS, нельзя его делать публичным.
Это первое их условие, и они очень сильно беспокоятся об этом. И второе, что сам KMS-сервер одноразово проходит активацию. То есть сам KMS-сервер должен один раз подключиться к Microsoft, пройти там активацию, а потом он может активировать все остальные рабочие станции без ограничения.
И чтобы этим не злоупотребляли, раз в полгода надо пройти повторную проверку, реавторизацию. И все вот эти вот взломы активации Windows, по правде говоря, ничего вообще не взламывают.
Они делают этот KMS-сервер в виртуальной машине и в маленькой такой незаметной виртуальной машине, которая работает в фоновом режиме. И мой Windows к нему подсоединяется и проходит активацию.
Они там еще делают симуляцию, как будто бы 25 компьютеров уже подключились, чтобы он мне дал разрешение активироваться. И так взламывается Windows. Но сегодня уже нет смысла его взламывать, если я могу просто жить без активации.
Всего лишь такое маленькое сообщение в уголке. Если оно вам не мешает, вы можете вообще не делать активацию. Конечно, это незаконно.
Мы сейчас что хотим сделать? Мы сейчас хотим посмотреть, как происходит вот этот вот KMS сервер, как наладить этот Active Directory Based Activation, как эти два способа работают.
Я вам сейчас это продемонстрирую. Вот мы на сайте Microsoft Activate Windows Using Active Directory. И здесь написано очень интересная вещь, что нам надо Windows забить заранее GVL Key, General Volume License Key.
То есть они нам дают лицензию, и нам, и всему миру, один и тот же номер, который надо забить внутрь моего локального Windows, внутрь моей десятки, так, чтобы она прошла активацию через KMS.
У всех компьютеров, которые работают через KMS Server или через Active Directory Based Activation, будет внутри Windows один и тот же серийник, который надо активировать.
Инструкция начинается с того, что мы устанавливаем на наш сервер программу Volume Activation Service. Еще раз, мы идем на наш сервер. Сервер это программа. Есть сервер как железо, мощный компьютер, а есть сервер как программа.
Мы идем в наш сервер, в нашу программу, это Windows 10 такой за 1000 долларов с прибамбасами. И мы идем в этот Windows 10, в серверную версию его и добавляем туда роль Volume Activation Service.
Мы ее устанавливаем на компьютер. Эта функция, эта программа, она встроена в Windows сервер. В этом Windows сервере есть много добавочных встроенных программ, выглядит он как Windows 10, но в нем много добавочного функционала, и это одно из них.
Короче, мы ставим галочку на Volume Activation Service и устанавливаем его, и когда мы его запустим, он нас спрашивает, хотим ли мы запустить активацию, сервер активации через Active Directory Based Activation или через KMS.
Я могу так и могу так. Я выбираю, предположим, Active Directory Based Activation. И теперь мне надо занести номер KMS Host Key.
Вот этот вот номер, который получает Microsoft от Volume Key, который активирует сам KMS Server. То есть сам KMS Server должен быть одноразово активирован через сайт Microsoft.
Еще раз, Volume Activation Tool должен один раз активировать либо онлайн, либо