Configurer un serveur KMS pour 50 postes Windows 10 Education

Vérifier les licences avant d’installer le moindre rôle serveur

KMS signifie « Key Management Service ». C’est un mécanisme d’activation conçu pour les organisations qui disposent de licences en volume. Le serveur reçoit une clé d’hôte KMS, puis active les ordinateurs du réseau qui exécutent une édition cliente compatible, ici Windows 10 Education acquis ou attribué dans le cadre du bon programme de licences.

La distinction est essentielle : une clé KMS n’est pas une licence pour 50 appareils. Elle permet au serveur d’activer les installations qui sont déjà couvertes par votre contrat, votre abonnement établissement ou votre accord de licences en volume. Un poste livré avec Windows Home ou Windows Pro en OEM n’acquiert pas, par la seule présence du serveur KMS, le droit d’exécuter Windows 10 Education.

Vérifiez donc le contrat de licences, le nombre de droits disponibles et l’édition réellement installée. Les règles d’éligibilité, notamment en matière de licences de mise à niveau ou d’abonnements Éducation, dépendent de l’accord souscrit. En cas de doute sur le droit d’usage, faites valider le dossier par votre revendeur, votre responsable des licences ou le support de votre programme de licences.

Le seuil de 25 ne correspond pas au nombre de licences achetées. Il s’agit du nombre d’installations Windows distinctes détectées par l’hôte KMS. Une flotte de 50 machines donne une marge confortable, à condition que les 50 systèmes soient bien déployés et qu’ils possèdent chacun un identifiant client propre.

Choisir KMS plutôt qu’une activation Active Directory ou MAK

KMS est pertinent pour un établissement disposant d’un réseau local stable, de postes souvent connectés et d’un parc qui dépasse nettement 25 ordinateurs. Les machines activées doivent revenir régulièrement sur le réseau de l’établissement ou sur un VPN donnant accès à l’hôte KMS.

D’autres méthodes d’activation existent. Elles ne répondent pas aux mêmes contraintes et peuvent être plus simples dans une petite structure, pour des ordinateurs nomades ou si tous les postes sont déjà membres d’un domaine Active Directory.

L’activation basée sur Active Directory peut être intéressante si tous les ordinateurs sont joints au domaine et si votre environnement la prend en charge. Elle évite la recherche d’un hôte KMS par DNS côté client. À l’inverse, MAK convient mieux aux appareils qui ne repasseront pas régulièrement sur le réseau de l’établissement, mais elle demande un suivi plus rigoureux des activations lors des réinstallations.

Pour 50 postes Windows 10 Education dans des salles de cours, un CDI ou des bureaux administratifs, KMS est généralement un bon choix si l’établissement maîtrise déjà son DNS interne. Évitez de mettre en place deux hôtes KMS dès le départ : en répartissant les requêtes entre eux, vous risquez de laisser chaque serveur sous le seuil nécessaire à l’activation.

À lire aussiClé numérique ou boîte physique ? Avantages et limites des licences dématérialisées Microsoft

Préparer une architecture KMS simple, stable et fermée

Installez de préférence le rôle KMS sur un serveur Windows pris en charge, maintenu à jour et déjà intégré à l’infrastructure interne. Il peut s’agir d’un serveur dédié ou d’un serveur d’administration peu chargé. Attribuez-lui une adresse IP stable, un nom DNS complet prévisible, par exemple kms01.etablissement.lan, et sauvegardez sa configuration selon les règles habituelles de votre service informatique.

Le serveur KMS n’a pas besoin d’être exposé sur Internet. Au contraire, le port d’activation doit être réservé aux sous-réseaux internes autorisés. Seul l’hôte a besoin d’un accès ponctuel aux services d’activation de Microsoft lors de son activation initiale, puis pour le renouvellement de son propre état d’activation. Une activation par téléphone est prévue lorsque l’accès sortant n’est pas possible.

Le fonctionnement quotidien repose sur un enregistrement DNS de type SRV. Les clients recherchent par défaut le service _vlmcs._tcp dans leur domaine DNS, puis contactent l’hôte trouvé sur le port TCP 1688. Si les mises à jour DNS dynamiques sont autorisées et correctement déléguées, le serveur peut publier cet enregistrement automatiquement. Sinon, l’administrateur DNS doit le créer manuellement.

Avant le déploiement, ouvrez uniquement le flux TCP 1688 entrant vers l’hôte KMS depuis les VLAN des salles, des bureaux et de l’administration concernés. Ne créez pas de redirection depuis la box Internet, ne publiez pas le nom KMS dans une zone DNS publique et ne donnez pas aux utilisateurs un accès d’administration au serveur.

Installer et activer l’hôte KMS sur Windows Server

La méthode la plus lisible consiste à utiliser le rôle « Services d’activation en volume » de Windows Server. Les écrans et les intitulés peuvent varier légèrement selon la version du serveur, mais la logique reste identique : installer le rôle, saisir la clé d’hôte KMS de l’organisation, puis activer l’hôte auprès de Microsoft.

Un enregistrement SRV manuel doit renvoyer vers le nom complet du serveur KMS, avec le port 1688. Dans une zone interne etablissement.lan, cela revient à publier le service _vlmcs._tcp.etablissement.lan vers kms01.etablissement.lan. Ne saisissez pas une adresse IP comme cible : un SRV DNS doit pointer vers un nom d’hôte, ce qui évite des erreurs lors d’un changement d’adresse.

Conservez la clé d’hôte KMS dans un coffre-fort de mots de passe ou dans votre procédure de gestion des secrets. Évitez les captures d’écran non protégées, les feuilles de calcul partagées et les notes de ticket contenant la clé en clair. La clé d’hôte permet d’activer le serveur ; elle ne doit pas circuler auprès des utilisateurs ou des prestataires non habilités.

Déployer correctement Windows 10 Education sur les 50 postes

Une image de déploiement en volume correctement préparée contient normalement la clé cliente générique correspondant à l’édition Windows 10 Education. Cette clé cliente n’est pas une clé de licence individuelle : elle indique simplement au système qu’il doit rechercher l’activation KMS de l’organisation. Utilisez les médias, les outils de déploiement et les clés de configuration fournis par les canaux Microsoft officiels.

Avant de capturer une image de référence, généralisez-la avec Sysprep. Cette opération renouvelle les identifiants propres à chaque poste lors du déploiement. Si vous clonez une installation déjà activée sans généralisation, plusieurs ordinateurs peuvent présenter le même identifiant client à l’hôte KMS, qui ne les comptera pas comme autant de machines distinctes.

Dans un environnement DNS sain, les clients trouvent l’hôte KMS automatiquement. Pour un test ponctuel depuis un poste d’administration, vérifiez d’abord la découverte DNS et la connectivité :

``powershell nslookup -type=SRV _vlmcs._tcp.etablissement.lan Test-NetConnection kms01.etablissement.lan -Port 1688 ``

Vous pouvez ensuite demander une activation avec slmgr /ato sur un poste déjà configuré comme client KMS. L’outil slmgr /dlv donne davantage de détails sur l’état de licence, tandis que slmgr /xpr affiche si l’activation est permanente ou sa date d’expiration. Évitez de définir manuellement un nom de serveur KMS sur l’ensemble du parc : cela bloque la découverte DNS et complique un futur remplacement de l’hôte.

Déployez d’abord un lot de 25 à 30 postes, allumez-les sur le réseau interne et laissez-les joindre l’hôte. Une fois le seuil atteint, déclenchez ou laissez se produire les activations sur le reste du parc. Avant ce seuil, une erreur d’insuffisance de compteur est normale ; elle ne prouve ni que la clé est invalide ni que le serveur est mal installé.

À lire aussiComment organiser un événement dans le métavers : guide pratique

Vérifier l’activation et résoudre les erreurs fréquentes

Contrôlez le compteur KMS depuis le serveur avec slmgr /dlv. Cherchez la valeur indiquant le nombre actuel de clients KMS. Depuis plusieurs postes représentatifs, vérifiez à la fois l’édition installée, la résolution DNS, l’accès réseau et l’état de licence. Faites les essais depuis des VLAN différents : un poste qui fonctionne dans la salle informatique ne garantit pas que les machines administratives atteignent le serveur.

L’erreur 0xC004F038 apparaît souvent lors des premières heures du projet. Avec 50 postes, le problème vient fréquemment d’un déploiement trop progressif, de machines encore éteintes ou d’une image dupliquée sans généralisation. Ne passez pas immédiatement à une autre clé : commencez par contrôler le compteur et les identifiants de déploiement.

Si le SRV DNS est absent, les clients ne savent pas quel serveur contacter. Une configuration manuelle du serveur KMS sur un poste peut aider à isoler un problème de DNS, mais elle doit rester temporaire. Une fois le diagnostic terminé, rétablissez la détection automatique, plus robuste pour l’exploitation courante.

Exploiter le service sans fragiliser le parc ni la conformité

Pour 50 postes, un hôte KMS correctement sauvegardé et supervisé suffit largement. Surveillez les journaux d’événements liés à l’activation, la disponibilité du DNS et les règles de pare-feu après chaque changement de réseau. Le serveur ne nécessite pas de matériel puissant : sa fiabilité dépend bien davantage de la stabilité du DNS, de la qualité du déploiement et de la protection de sa clé.

Faites un point de conformité à chaque renouvellement de parc : nombre de postes actifs, éditions réellement installées, justificatifs de licences et appareils sortis du périmètre. KMS peut continuer à activer une machine réinstallée si elle est autorisée par le contrat, mais il ne gère pas l’inventaire des actifs ni les droits d’usage. Un outil d’inventaire ou une procédure de suivi reste nécessaire.

Enfin, inscrivez la migration vers Windows 11 Education dans la feuille de route. L’activation KMS maintient l’état de licence de Windows 10, pas sa sécurité ni son support. Vérifiez la compatibilité matérielle, le calendrier de renouvellement des PC et les droits de licences avant toute bascule, plutôt que de prolonger un système non pris en charge par simple facilité d’activation.