Serveur KMS : activer 50 postes Windows 10 Education

Vérifier les licences Windows Education avant toute installation

Un serveur KMS centralise l’activation technique de Windows. Il ne crée pas de licences, ne transforme pas une clé OEM en droit Education et ne régularise pas un parc installé avec une mauvaise édition. Le point de départ est donc administratif : les 50 appareils doivent disposer de droits valides pour Windows 10 Education dans le cadre du contrat de licences en volume, de l’abonnement établissement ou du programme académique concerné.

Une licence OEM de Windows Pro, souvent intégrée au firmware d’un PC, peut constituer le système sous-jacent exigé par certains programmes de mise à niveau. Mais elle ne suffit pas, à elle seule, à déployer Windows 10 Education sur tout le parc. Vérifiez les droits exacts auprès du responsable des contrats, du revendeur académique ou du gestionnaire des licences de l’établissement.

Avant de toucher au serveur, constituez un inventaire simple et exploitable : nom du poste, numéro d’inventaire, propriétaire ou salle, édition installée, version de Windows, état d’activation et fondement de la licence. Ce fichier sera précieux lors d’un changement de machine, d’un audit interne ou d’une panne collective.

Conservez la clé hôte KMS, appelée CSVLK, dans un coffre de mots de passe ou un outil de gestion des secrets, avec un accès limité aux administrateurs habilités. Elle n’a rien à faire dans une séquence de déploiement, dans un tableur partagé ou dans l’image système des postes.

Comprendre les seuils KMS pour un parc de 50 ordinateurs

KMS signifie Key Management Service. L’établissement active une fois son hôte auprès de Microsoft, puis les postes activent Windows auprès de cet hôte sur le réseau interne. Les clients n’ont donc pas besoin d’accéder individuellement à Internet pour rester activés, à condition de retrouver périodiquement le serveur KMS.

Le mécanisme impose un seuil pour les systèmes clients Windows : au moins 25 clients distincts doivent avoir contacté le même hôte KMS avant que celui-ci puisse délivrer des activations Windows. Pour les systèmes Windows Server, le seuil est de 5. Avec 50 PC Education, le volume est adapté, à condition de déployer suffisamment de machines réelles et uniques.

Ce seuil explique un scénario souvent mal interprété : une équipe installe d’abord cinq PC pilotes, force l’activation et conclut que KMS est en panne. Le serveur fonctionne peut-être parfaitement, mais il n’a pas encore observé 25 identités clientes distinctes. Programmez donc une première vague d’au moins 25 postes connectés au réseau de l’établissement.

Une activation KMS obtenue est valable 180 jours. Windows cherche normalement à la renouveler tous les 7 jours environ et retente plus fréquemment s’il n’y arrive pas. Un ordinateur absent du réseau pendant plusieurs mois finira par afficher un état d’activation dégradé ; il retrouvera son état normal dès qu’il pourra se réactiver avec un service KMS valide.

Le comptage porte sur des identifiants machines uniques. Une image clonée sans généralisation peut répliquer le même identifiant sur plusieurs PC : le serveur ne les considérera pas comme 25 machines différentes. Avant de capturer une image Windows, utilisez le processus de généralisation pris en charge, notamment sysprep /generalize, puis laissez l’outil de déploiement créer des installations individualisées.

Choisir l’architecture KMS, le DNS et les règles réseau

Pour 50 postes, installez de préférence l’hôte KMS sur une machine Windows Server prise en charge, physique ou virtuelle, maintenue dans le réseau de l’établissement. Le service consomme peu de ressources : il n’a pas besoin d’un serveur surdimensionné. En revanche, il a besoin d’un nom DNS stable, d’une adresse réseau pérenne, de sauvegardes de la configuration et d’une administration contrôlée.

Évitez d’empiler ce rôle sur un serveur déjà critique si vous pouvez l’éviter. Un contrôleur de domaine, par exemple, peut techniquement concentrer beaucoup de fonctions, mais chaque rôle supplémentaire augmente l’impact d’une erreur de maintenance. Une petite machine virtuelle d’infrastructure, documentée et sauvegardée, est souvent un meilleur compromis.

Les clients localisent normalement le service grâce à un enregistrement DNS de type SRV : _vlmcs._tcp.votre-domaine-interne. Cet enregistrement doit indiquer le nom complet de l’hôte KMS et le port 1688. L’hôte peut le publier automatiquement dans un DNS Active Directory correctement configuré ; vérifiez tout de même sa présence au lieu de le supposer.

Le pare-feu doit autoriser les connexions TCP entrantes sur 1688 vers l’hôte, depuis les VLAN des salles, bureaux administratifs et appareils gérés qui en ont besoin. N’ouvrez jamais ce port sur Internet et ne publiez pas le serveur KMS dans une zone exposée. Les ordinateurs nomades doivent passer par le VPN de l’établissement ou revenir sur le réseau interne avant l’expiration de leurs 180 jours.

Pour contrôler la résolution DNS depuis un poste client, utilisez par exemple PowerShell :

Resolve-DnsName -Type SRV _vlmcs._tcp.votre-domaine-interne
Test-NetConnection kms.votre-domaine-interne -Port 1688

Le premier test doit renvoyer le nom de l’hôte et le port attendu ; le second doit indiquer une connexion TCP réussie. Si le DNS est correct mais que le port est bloqué, le client ne peut pas activer Windows.

Installer et activer l’hôte KMS sans exposer la clé

Commencez par mettre à jour le serveur et vérifiez que sa version ainsi que la CSVLK détenue peuvent prendre en charge la génération de clients Windows déployée. Une clé hôte trop ancienne ou un serveur non maintenu peut ne pas reconnaître correctement certaines éditions ou générations de Windows. Ne contournez jamais ce problème avec un outil non officiel : demandez la clé ou la mise à jour adaptée dans le canal de licences de l’organisation.

Sur Windows Server, installez le rôle de services d’activation en volume depuis le Gestionnaire de serveur, ou avec une console PowerShell exécutée en administrateur :

Install-WindowsFeature -Name VolumeActivation -IncludeManagementTools

Ouvrez ensuite les outils d’activation en volume, sélectionnez l’option KMS, puis saisissez la CSVLK. L’activation de l’hôte auprès de Microsoft se fait une seule fois lors de sa mise en service, par Internet ou selon la procédure d’activation proposée si le serveur est isolé. Les PC du parc, eux, n’utiliseront pas directement cette clé.

La même opération peut être vérifiée ou réalisée en ligne de commande, sans afficher la clé dans une documentation partagée :

slmgr /ipk VOTRE-CSVLK
slmgr /ato
slmgr /dlv

La commande slmgr /dlv fournit des informations détaillées sur l’état de la licence, le canal KMS et le compteur observé. Réservez son exécution aux administrateurs et masquez les informations sensibles dans les captures d’écran de ticket ou de support.

Ne désactivez pas les mises à jour du serveur sous prétexte qu’il ne fait « que KMS ». L’hôte reste une machine d’infrastructure Windows : comptes d’administration, correctifs, antivirus compatible, journalisation et sauvegarde de sa configuration doivent suivre les règles internes.

Déployer Windows 10 Education sur les 50 postes

Le déploiement le plus propre part d’une image de référence Windows 10 Education provenant du canal autorisé. Dans votre outil de déploiement — services de déploiement, solution de gestion de parc, séquence de tâches ou installation manuelle encadrée — choisissez explicitement l’édition Education et sa GVLK correspondante. Ne placez jamais la CSVLK sur un client : elle est réservée à l’hôte KMS.

Si l’enregistrement DNS est correct, un poste doté de la bonne GVLK découvre automatiquement KMS. Il est inutile, et souvent contre-productif, de renseigner un nom de serveur à la main sur les 50 appareils. La configuration forcée ne doit servir qu’au diagnostic ou à une exception documentée.

Pour un poste de test, les commandes suivantes permettent de valider le chemin d’activation. Remplacez la clé uniquement par la GVLK officielle correspondant exactement à l’édition installée :

slmgr /ipk VOTRE-GVLK-EDUCATION
slmgr /ato
slmgr /dlv

Si vous avez temporairement forcé un hôte pour investiguer une panne, supprimez ce paramètre avant la mise en production afin de revenir à la découverte DNS :

slmgr /ckms

Organisez le déploiement en trois temps : un petit contrôle fonctionnel de l’image et du réseau, une vague d’au moins 25 appareils pour franchir le seuil KMS, puis le reste du parc. Après la vague initiale, vérifiez dans les paramètres d’Activation de Windows que le système indique une activation par le service de l’organisation. Sur quelques machines, consultez aussi slmgr /dlv pour confirmer l’édition, le canal et la date d’expiration.

Suivre les renouvellements, les PC nomades et la fin de vie du parc

KMS demande peu d’entretien quotidien, mais pas zéro suivi. Une vérification mensuelle ou à chaque évolution importante du réseau suffit souvent : état du service, accès au port 1688, présence de l’enregistrement SRV, compteur KMS et échantillon de postes activés. Intégrez ces contrôles au tableau de bord habituel de l’administration système.

Les PC portables sont le principal point de vigilance. Ils n’ont pas besoin de contacter le serveur chaque semaine, mais ils doivent le faire avant l’expiration de 180 jours. Prévenez les utilisateurs longue durée hors site : connexion au VPN de l’établissement, démarrage du poste, attente de la connexion au réseau interne et vérification de l’activation si nécessaire.

Une panne KMS n’immobilise pas instantanément les appareils déjà activés. La durée de 180 jours offre une fenêtre de rétablissement confortable. Cela ne justifie pas l’improvisation : documentez le nom de l’hôte, les règles DNS, les comptes d’administration et la procédure de reconstruction du serveur.

Windows 10 Education activé ne devient pas pour autant supporté indéfiniment. KMS ne prolonge ni le cycle de maintenance de Windows ni la réception des correctifs de sécurité. Le suivi du parc doit donc inclure l’état de support des versions déployées et un plan de migration vers une version autorisée et maintenue.

Lorsqu’un poste est remplacé, retirez-le de l’inventaire, effacez ses données selon la politique de l’établissement et appliquez les règles contractuelles de réaffectation des licences. Il n’est généralement pas nécessaire de « désactiver » manuellement un client KMS mis au rebut : son activation cessera naturellement de se renouveler.

Diagnostiquer les erreurs KMS les plus fréquentes

La plupart des incidents KMS viennent de quatre causes : un seuil non atteint, une édition ou clé cliente erronée, un DNS mal publié, ou un pare-feu qui bloque le port 1688. Évitez de changer plusieurs paramètres à la fois. Relevez d’abord l’état de licence avec slmgr /dlv, puis testez DNS et réseau depuis le poste concerné.

Ne confondez pas le compteur KMS et le nombre de machines inventoriées par votre outil de gestion. Le premier mesure les clients distincts vus par l’hôte, pas le nombre d’ordinateurs inscrits dans Active Directory ni le nombre de lignes dans un tableur.

En cas de changement matériel majeur sur l’hôte, d’échec d’activation de sa CSVLK ou de doute sur les droits de licence, stoppez les manipulations au hasard. Consultez l’administrateur de licences de l’établissement ou le support habilité : réinstaller des clés à répétition peut compliquer le diagnostic sans résoudre la cause.

KMS, activation Active Directory, MAK : choisir la bonne méthode

KMS est pertinent pour un parc stable de 50 PC qui se connectent régulièrement au réseau de l’établissement. Il reste toutefois une option parmi d’autres. Si tous les appareils sont joints au domaine et que l’infrastructure Active Directory est maîtrisée, l’activation basée sur Active Directory peut réduire la dépendance au port 1688 et à la découverte KMS.

L’activation MAK, qui attribue une activation individuelle auprès de Microsoft, peut convenir à quelques machines très isolées, à un poste hors domaine durablement ou à une exception justifiée. Elle devient plus lourde à piloter lors des réinstallations et ne remplace pas l’inventaire des droits. Certains contrats proposent aussi des mécanismes d’activation par abonnement : leur disponibilité dépend de l’offre souscrite et de la configuration des identités de l’établissement.

Pour 50 Windows 10 Education présents dans des salles et bureaux reliés au réseau local, un hôte KMS unique, un DNS propre, une image généralisée et des licences tracées constituent généralement la solution la plus simple. La fiabilité ne tient pas au nombre de commandes exécutées, mais à ces quatre fondations.