Лицензии RDS CAL: почему работающий терминал ещё не значит легальный

За пятнадцать лет в IT-аутсорсинге я раз двадцать слышал одну и ту же фразу: «а зачем нам лицензии, если сервер и так работает?». Работает — да. Легально — почти никогда. Расскажу, откуда берётся эта дыра, чем она грозит бухгалтерии или юрфирме на 15-20 рабочих мест, и как закрыть вопрос один раз и не думать о нём три года.

Как это обычно всплывает

Классика жанра. Приходит новый клиент, небольшая бухгалтерская контора, 18 человек, все работают в 1С через RDP на одном терминальном сервере. Спрашиваю: сколько CAL куплено. В ответ — тишина, потом «а это обязательно?». Открываю Server Manager, роль Remote Desktop Services стоит, лицензионный сервер не активирован вообще. Сервер работает уже четыре года. Просто потому что Windows Server сам по себе не блокирует подключения сразу — есть grace period 120 дней с момента установки роли, а дальше он либо продолжает пускать пользователей без всякого предупреждения (если лицензирование не настроено жёстко), либо начинает капризничать в самый неудобный момент, например в разгар сдачи отчётности.

Второй типичный сценарий — админ когда-то настраивал сервер по гайду из интернета, поставил роль RDS, потому что «иначе больше двух сессий не пустит», и на этом остановился. Про CAL никто не рассказал, потому что сам гайд был про технику подключения, а не про юридическую сторону. У меня был клиент из торговой сети, у которого сервер держал 40 одновременных RDP-сессий на голом Standard-издании без единой купленной User CAL. Работало. До поры до времени.

И вот тут ключевое слово — «работало». RDS CAL — это не техническое ограничение вроде лимита на число ядер. Это юридическое обязательство: если у вас на сервере включена роль терминального доступа и через неё заходят люди или устройства, вы обязаны купить лицензию на каждого пользователя или на каждое устройство, независимо от того, ловит вас кто-то за руку или нет. Технически система может вообще не спросить у вас лицензию годами. Разрешение — не то же самое, что легальность.

Что такое RDS CAL и почему тут вечная путаница

CAL — Client Access License, лицензия клиентского доступа. Она не про сам Windows Server, она отдельная, докупается сверху. Для терминального доступа есть отдельный вид — RDS CAL, и он не входит ни в одну коробку Windows Server автоматически, даже в Datacenter-редакцию за 600 с лишним тысяч рублей. Купили сервер — это лицензия на установку операционной системы. Хотите, чтобы через RDP заходило больше двух человек одновременно (третий — это уже нарушение, встроенные два подключения — только для администрирования) — покупайте RDS CAL отдельно, россыпью, по числу пользователей или устройств.

Путаница чаще всего в двух местах. Первая: люди путают обычную Windows CAL (право подключаться к файлам, принтерам, домену) и RDS CAL (право именно на терминальную сессию). Это два разных документа, и одно не заменяет другое. Вторая: думают, что раз есть терминальный сервер и на нём есть локальные учётки, значит всё в порядке. Локальная учётка — это вообще не про лицензирование, Microsoft лицензирует не пароли, а факт подключения человека или устройства к терминальной роли.

У меня в практике был случай с производственным предприятием под Подольском: там купили Windows Server 2019 Standard с коробки, восприняли фразу продавца «два пользователя включены» как «до двадцати нормально, потом разберёмся» — и жили так три года на честном слове и на том, что сервер физически позволял 15 одновременных сессий через сторонний RDP-wrapper. Формально это уже не просто нарушение лицензирования, это обход технического ограничения — совсем другая статья разговора, если дело дойдёт до проверки.

Чем реально грозит отсутствие CAL

Начну с неприятной правды: с 2022 года Microsoft официально ушла с российского рынка, новых лицензий через официальные каналы не продаёт, поддержку по большинству продуктов не оказывает. Это расслабляет — кажется, что раз вендор ушёл, то и спрашивать некому. Отчасти так и есть: классических выездных аудитов Microsoft Compliance в духе «здравствуйте, мы к вам с проверкой лицензий» в России сейчас практически нет. Но риск не исчез, он просто переместился в другую плоскость.

Первая реальная угроза — это не Microsoft, а российское законодательство. Статья 146 УК РФ про нарушение авторских прав никуда не делась, и использование нелицензионного софта в коммерческой деятельности — вполне рабочий повод для проверки со стороны ОБЭП, если, например, на вас написали заявление конкуренты или бывший сотрудник. У меня был клиент — юрфирма на Таганке, — куда с проверкой пришли именно по такому поводу: бывший системный администратор, уволенный со скандалом, написал заявление, что фирма работает на пиратском софте. RDS CAL там, к счастью, были куплены, а вот с 1С была отдельная неприятная история, но сам факт визита показал: проверяющие прекрасно умеют смотреть логи терминального сервера и количество активных подключений против числа купленных лицензий.

Вторая история — при продаже бизнеса или прохождении due diligence. Если компанию покупают, юристы покупателя обязательно смотрят на матчасть, включая софт. Незакрытый вопрос с лицензированием — это дисконт к цене сделки или прямое требование закрыть его перед подписанием. Я видел, как сделка по продаже небольшой производственной компании застряла на две недели именно из-за того, что аудитор со стороны покупателя обнаружил терминальный сервер на 25 пользователей без единой CAL.

Сколько это стоит и в чём разница User CAL и Device CAL

Тут развилка, от которой реально зависят деньги. User CAL привязывается к конкретному человеку и даёт ему право заходить с любого устройства — с рабочего компьютера, с ноутбука дома, с телефона в дороге. Device CAL привязывается к конкретному устройству и даёт право заходить с него любому человеку. Если у вас посменная работа, например склад или колл-центр, где на одном терминале за сутки сидят три разных оператора, — выгоднее Device CAL. Если у вас офисные сотрудники с личными ноутбуками, каждый со своим логином, — выгоднее User CAL.

По деньгам на конец 2026 года, если считать через параллельный импорт и российских реселлеров (официальных прямых продаж от Microsoft, напомню, нет), RDS User CAL или Device CAL в бессрочной лицензии обходится в среднем в 7000-9000 рублей за штуку в зависимости от партии и поставщика. Для конторы на 20 рабочих мест это 140-180 тысяч рублей разово. Звучит некомфортно, но давайте сравним со стоимостью простоя на день, если сервер вдруг откажется пускать пользователей сверх лимита в разгар квартальной отчётности — для бухгалтерской фирмы это может быть дороже.

Отдельно скажу про удалённые/арендованные схемы — я сам так делаю для части клиентов ITfresh. Можно арендовать терминальный сервер уже с включённым лицензированием у хостинг-провайдера, и тогда вопрос CAL закрывает провайдер, это часть тарифа. Проверял лично на нескольких площадках — иногда это выходит дешевле, чем покупать бессрочные лицензии самому, особенно если штат меняется и лицензии периодически простаивают.

Как посчитать, сколько CAL нужно именно вам

Первое, что я делаю у нового клиента — не спрашиваю бухгалтерию, сколько людей в штате, а смотрю реальные логи подключений на терминальном сервере за последние 30-60 дней. Event Viewer, журнал TerminalServices-LocalSessionManager, событие с ID 21 — вход в сессию. Часто оказывается, что формально в штате 25 человек, а реально заходит на терминал 17, остальные работают с локальных машин или вообще не пользуются 1С. Переплачивать за мёртвые души не нужно.

Второе — учтите сезонность и подрядчиков. Если раз в квартал к вам заходит внешний бухгалтер-аутсорсер или практикант на месяц, для таких случаев есть более гибкая история — можно докупать лицензии под конкретный проект, не обязательно всё сразу оформлять на постоянной основе. Я обычно рекомендую считать по пиковой нагрузке за последние полгода плюс небольшой запас в 10-15 процентов на рост.

Третье, о чём часто забывают — это резервные и тестовые окружения. Если у вас есть тестовый терминальный сервер, на который иногда заходит админ проверить обновление перед раскаткой на прод, формально туда тоже нужны CAL, если это не входит в те самые два административных подключения по умолчанию. Мелочь, но именно на таких мелочах спотыкаются при формальных проверках.

Как купить легально в нынешних условиях

Раз официальных продаж от Microsoft в России нет, вариантов практически два. Первый — параллельный импорт через реселлеров, которые возят коробочные версии или ключи через третьи страны, обычно Казахстан или ОАЭ. Тут важно спрашивать у поставщика происхождение лицензии и настаивать на официальных документах — счёт-фактура, сертификат подлинности, если это Retail-версия. Я всегда советую клиентам сохранять переписку и договор с поставщиком лицензий отдельной папкой — при любой проверке это первое, что спросят.

Второй вариант — облачные схемы, например аренда рабочих мест в Azure или у российских хостеров с уже включённым лицензированием SPLA (Services Provider License Agreement). Тут вы вообще не покупаете CAL сами, платите за место в месяц, а вопрос легальности лежит на провайдере — но обязательно проверяйте, что у него реально есть действующий SPLA-договор, а не просто красивые слова на сайте. Я лично сталкивался с хостерами, которые обещали «всё включено», а по факту сами сидели без лицензий — в таком случае ответственность может размазаться, но нервов вы точно потратите много, разбираясь постфактум.

Третий путь, который я не рекомендую, но упомяну для полноты — переход на терминальные решения без завязки на RDS CAL, например Linux-терминалы с 1С через веб-клиент или тонкий клиент. Это разумно, если вы всё равно планируете модернизацию инфраструктуры, но это не быстрое решение на завтра, а отдельный проект на несколько месяцев.

Что делать, если вы уже узнали себя в этой статье

Не паникуйте и не выключайте сервер в пятницу вечером — это только создаст простой без решения проблемы. Первый шаг — аудит: посчитайте реальное число пользователей и устройств, как я описывал выше. Второй шаг — купите недостающие лицензии, начиная с текущего момента вперёд, это закрывает риск на будущее. Задним числом вы легализовать использование не можете физически — Microsoft лицензии не продают ретроактивно, но это и не требуется: важно, чтобы с даты покупки у вас всё было чисто.

Третий шаг, который многие пропускают — настройте сам лицензионный сервер RDS правильно, через Server Manager, роль RD Licensing, с активацией через интернет или, если она недоступна, через телефонную активацию (да, она до сих пор технически работает для существующих ключей). Голая покупка лицензии без настройки роли ничего не даёт — сервер должен реально их учитывать и правильно отчитываться перед контроллером домена.

У меня был клиент, производственная компания в Домодедово, где мы за одну неделю прошли весь этот путь: аудит логов, докупка 22 CAL через параллельный импорт, настройка лицензионного сервера, документооборот в отдельную папку на файловом сервере с копией у директора. С тех пор прошло полтора года, вопрос больше не всплывал — и, что важнее, директор перестал просыпаться от мысли, что где-то у него дыра, о которой он не знает.

Частые вопросы

Если Microsoft ушла из России, реально ли меня вообще проверят?
Прямых аудитов от самой Microsoft сейчас практически нет — вендор физически не работает в стране. Но риск идёт с другой стороны: проверки по 146 статье УК со стороны МВД по заявлению, due diligence при продаже бизнеса, требования банков или партнёров показать чистоту лицензий. Отсутствие визита от Microsoft не равно отсутствию риска.

У меня 10 человек работают посменно на 5 компьютерах, что выгоднее — User или Device CAL?
В вашем случае явно Device CAL — лицензия привязывается к пяти рабочим станциям, а не к десяти людям, и вы платите за пять лицензий вместо десяти. Правило простое: считайте, чего у вас меньше — уникальных людей или уникальных устройств, и лицензируйте то, что меньше.

Можно ли легализовать сервер, который уже несколько лет работает без CAL?
Задним числом купить лицензии на прошлые годы использования нельзя технически — Microsoft не продаёт лицензии с датой в прошлом. Но можно и нужно закрыть вопрос с сегодняшнего дня: докупить нужное число CAL, настроить лицензионный сервер и с этого момента быть чистыми. Прошлое остаётся риском, но он не растёт дальше.

Входят ли лицензии в стоимость Windows Server, который я купил?
Нет. Покупка Windows Server Standard или Datacenter — это лицензия на саму операционную систему, включая до двух подключений по RDP для администрирования. Любой терминальный доступ сверх этого требует отдельно купленных RDS CAL — они никогда не идут в комплекте с сервером.