Windows Server 2012 R2にKMSサーバーを構築する方法｜インストールとライセンス認証の手順を徹底解説

自社運用のKMSサーバー（Key Management Service）を導入することで、企業ネットワーク上のMicrosoft製品のライセンス認証プロセスを大幅に簡素化できます。通常の認証方式と異なり、各クライアントPCがインターネット経由でMicrosoftの認証サーバーへアクセスする必要がありません。KMSインフラはシンプルで信頼性が高く、拡張も容易です。1台のKMSサーバーで数千台規模のクライアントを処理できます。

本記事では、ローカルの社内ネットワーク上でWindows Server 2012 R2にKMSサーバーをインストールし、ライセンス認証を行う手順について詳しく解説します。Microsoft製品の認証に広く使われているKMS技術の基本的な仕組みについては、「KMS Activation FAQ」の記事もあわせてご参照ください。

ボリューム ライセンス認証サービス（Volume Activation Services）役割のインストールと構成

KMSサーバーを構築するには、まず「ボリューム ライセンス認証サービス（Volume Activation Services）」というサーバーの役割をインストールします。サーバーマネージャーのGUIからでも、PowerShellからでも導入可能です。

PowerShellでインストールする場合は、以下のコマンドを実行します。
Install-WindowsFeature -Name VolumeActivation -IncludeAllSubFeature

サーバーマネージャーのGUIを使う場合は、「役割と機能の追加ウィザード」を起動し、サーバーの役割選択画面で「ボリューム ライセンス認証サービス」を選択してインストールしてください。

インストール完了後、「ボリューム ライセンス認証ツール（Volume Activation Tools）」コンソールを起動すると、認証サービスのセットアップウィザードが開始されます。ここで「Key Management Service（KMS）」サーバーをインストールすることを指定します。

補足：このKMSサーバーで認証するすべてのWindows OSが同一のActive Directoryドメインに所属しており、Windows 8／Windows Server 2012以降のOSを使用している場合は、KMS技術の拡張機能である「Active Directory-Based Activation（AD経由の認証）」を利用することもできます。

補足：KMSサーバーの構成作業を行うアカウントには、Enterprise Admins権限が必要です。

KMSホストキーの取得と入力

次に、Microsoftのライセンスサービスセンター（https://www.microsoft.com/Licensing/servicecenter/home.aspx）の個人向けページから、組織用のKMSキー（KMSホストキー＝KMSサーバー自身を認証するためのキー）を取得します。「ダウンロードとキー（Downloads and Keys）」→「Windows Server」→「Windows Server 2012 R2」と進むことで確認できます。

キーの種類がKMSであるものを選択し（MAKではない点に注意）、クリップボードにコピーしてください。コピーしたKMSホストキーを、セットアップウィザードの該当フィールド（Install your KMS host key）に貼り付けます。

システムがキーを受け付けると、すぐに認証を促す画面が表示されます。入力されたキーをもとに対象製品が自動的に判別され、「電話での認証」または「インターネット経由での認証」の2つの方法が提示されます。インターネット経由で認証する場合は、認証中のみ一時的にサーバーへインターネット接続を許可する必要があります。

KMSオプションの構成とDNS公開

キーの認証後、KMSの各種オプションを設定します。

• 認証・更新間隔：デフォルトではクライアントは7日ごとに認証を更新します。
• ポート番号：デフォルトではTCPポート1688を使用します。
• Windowsファイアウォールの例外設定：ポート1688への受信を許可する必要があります。

また、ドメイン内でKMSサーバーを自動検出できるようにするためのDNSレコード（SRVレコード _vlmcs._tcp）を自動作成するには、「DNSレコード – 公開（Publish）」オプションにチェックを入れます。複数のドメインのクライアントを処理するKMSサーバーの場合は、「カスタムDNSゾーンへ公開（Publish to Custom DNS zones）」リストにゾーン名を指定することで、他のDNSゾーンにもレコードを公開できます。

注意：Windowsファイアウォールが有効な環境では、ポート1688への着信接続を許可するルールが有効になっているか確認してください。ルールが存在しない・無効な場合は、PowerShellで有効化できます。

Get-NetFirewallRule -DisplayName *key*
Enable-NetFirewallRule -Name SPPSVC-In-TCP

Windows Server 2012 R2のKMSによるボリューム ライセンス認証の利用

以上で構成は完了です。まず、KMSサーバーを指すSRVレコードがDNSに登録されているか確認しましょう。

nslookup -type=srv _vlmcs._tcp.corp.woshub.com

続いて、KMSサーバーの現在の状態を確認します。

slmgr.vbs /dlv

表示される情報の中で、以下の項目に注目してください。

• Partial Product Key（部分プロダクト キー）：KMSキーの末尾5文字が表示されます。
• ライセンスの状態（License status）：「Licensed（ライセンス付与済み）」になっている必要があります。
• 受信した要求の合計（Total requests received）：認証要求の数（初期状態では0件）。

ヒント：KMSサーバーには「認証しきい値カウンター」と呼ばれる仕組みがあります。つまり、過去30日以内にKMSサーバーへ接続してきたクライアント数が事前に定義されたしきい値を超えない限り、KMSサーバーはクライアントの認証を開始しません。

1. クライアントOS（Windows Vista／7／8／10）の認証しきい値：25台
2. サーバーOS（Windows Server 2008／2008 R2／2012／2012 R2／2016）の認証しきい値：5台

クライアント側での認証手順

クライアント側でKMSサーバーを使ってOSを正常に認証するには、以下の手順を実行します。

1. 対象エディションに対応する汎用KMSキー（GVLK：Generic Volume License Key）をクライアントに指定します。
   slmgr /ipk xxxxx-xxxxx-xxxxx-xxxxx-xxxxx
2. KMSサーバーがDNSに公開されていない場合は、サーバーアドレスを手動で指定します。
   slmgr /skms kms-sr1.woshub.com:1688
3. 次のコマンドでOSの認証を実行します。
   slmgr /ato

対応OSとWindows 10／Server 2016認証に関する注意点

Windows Server 2012 R2用のKMSホストキー（VOLUME_KMS_WS12_R2チャネル）で認証されたKMSサーバーは、Windows 8.1／Windows Server 2012 R2までのすべてのWindows OSの認証に対応しています。Windows 10やWindows Server 2016を認証するには、KMSホストに特別な更新プログラムを適用し、新しいキーでKMSサーバーを再認証する必要があります。

この更新プログラムを適用せずに、VAMT（Volume Activation Management Tool）でWindows Server 2012 R2上のKMSサーバーへWindows 10用の新しいKMSキーをインストールしようとすると、以下のエラーが発生します。

Unable to verify product key. The specified product key is invalid, or is unsupported by this version of VAMT. An update to support additional products may be available online.
（プロダクトキーを検証できません。指定されたプロダクトキーが無効か、このバージョンのVAMTではサポートされていません。追加製品をサポートする更新プログラムがオンラインで入手できる可能性があります。）

KMS運用に役立つヒントまとめ

• 各OSバージョンの公開KMSキー（GVLK）は、Windows 7／Server 2008／2008 R2用、Windows 8.1／Server 2012 R2用、Windows 10／Windows Server 2016用それぞれMicrosoft公式ページから入手できます。
• Microsoft製品のキー管理、クライアント認証、レポート作成を効率化したい場合は、Microsoft Volume Activation Management Tool（VAMT）の活用をおすすめします。
• 同じKMSサーバーで、Windows OSだけでなくMS Office製品（Office 2013 VL、Office 2016など）の認証も行えます。
• Hyper-V上で稼働する仮想マシンの認証には、専用の認証方式「AVMA（Automatic Virtual Machine Activation：自動仮想マシン ライセンス認証）」を利用できます。