Ile licencji CAL potrzebuje firma? Jak je policzyć krok po kroku

Liczba licencji CAL nie wynika z liczby serwerów, tylko z liczby punktów dostępu do nich. Dla każdego produktu serwerowego osobno policz użytkowników i urządzenia, które się z nim łączą, a potem kup ten typ licencji, którego wychodzi mniej. Praktycznie oznacza to trzy niezależne rachunki: CAL do Windows Server dla wszystkich pracowników korzystających z domeny, plików albo drukarek, osobne RDS CAL dla osób pracujących przez pulpit zdalny i osobne CAL do SQL Server dla wszystkich, którzy sięgają do bazy, również pośrednio.

To ostatnie słowo, "pośrednio", odpowiada za większość braków wykrywanych w audytach. Zanim jednak do niego dojdziemy, warto uporządkować sam mechanizm, bo pomyłki zaczynają się dużo wcześniej: przy założeniu, że kupiona licencja serwera cokolwiek pokrywa po stronie klientów.

Dlaczego licencja serwera nie wystarcza

Windows Server licencjonuje się dziś na rdzenie fizyczne procesora, z minimum 16 rdzeni na serwer. Ta licencja daje prawo do uruchomienia systemu na konkretnym sprzęcie i na tym się kończy. Prawo do tego, żeby ktokolwiek się z tym systemem połączył, jest osobnym uprawnieniem i osobnym wydatkiem. Nazywa się Client Access License, w skrócie CAL, po polsku licencja dostępowa.

Zakres tego, co uruchamia obowiązek posiadania CAL, jest szerszy niż intuicja. Zalogowanie się do domeny Active Directory obsługiwanej przez Windows Server to dostęp. Otwarcie pliku z dysku sieciowego to dostęp. Wydruk na kolejce obsługiwanej przez serwer wydruku to dostęp. Pracownik, który przez cały dzień pracuje wyłącznie w Excelu na plikach z dysku H, korzysta z serwera i potrzebuje licencji, choć nigdy nie widział okna serwera na ekranie.

Ten sam model powtarza się przy SQL Server, Exchange Server i SharePoint Server. Każdy z nich ma własną pulę licencji dostępowych i CAL do jednego produktu nie pokrywa dostępu do drugiego. Ceny jednostkowe i pełną mapę tych zależności zebraliśmy na stronie o licencjach CAL.

Krok pierwszy: policz osobno ludzi i urządzenia

Podstawowa decyzja przy CAL-ach dotyczy typu, a nie liczby. User CAL przypisuje się do osoby i pokrywa jej dostęp z dowolnej liczby urządzeń. Device CAL przypisuje się do urządzenia i pokrywa dostęp każdego, kto z niego korzysta. Reguła wyboru jest czysto arytmetyczna: kupujesz ten typ, którego potrzeba mniej.

Dlatego pierwszą czynnością jest zrobienie dwóch list, nie jednej. Lista osób powstaje z Active Directory, ale nie jest to po prostu liczba kont. Trzeba z niej wyrzucić konta serwisowe, konta wyłączone, konta techniczne używane przez aplikacje i konta gości. Zostają realni ludzie, którzy się logują. Lista urządzeń obejmuje wszystko, co inicjuje połączenie z serwerem: komputery, laptopy, terminale, tablety, telefony służbowe z pocztą, a także urządzenia wielofunkcyjne skanujące do folderu sieciowego, o których prawie zawsze się zapomina.

Wolno mieszać oba typy w jednej organizacji i zwykle to się opłaca. W typowej polskiej firmie usługowej biuro dostaje User CAL, bo każdy ma laptop i telefon, a magazyn albo produkcja Device CAL, bo dwie zmiany korzystają z tych samych terminali.

Krok drugi: przykład firmy na 25 osób

Weźmy realistyczny przypadek. Firma handlowo-usługowa, 25 pracowników. Dwadzieścia osób pracuje w biurze i ma laptopa oraz telefon służbowy z pocztą. Pięć osób pracuje na hali w systemie dwuzmianowym i korzysta z trzech wspólnych terminali. Ośmiu handlowców łączy się z firmowym systemem przez pulpit zdalny. Program magazynowy trzyma dane w SQL Server, a korzysta z niego dwanaście osób.

Dwie rzeczy z tej tabeli są typowe i warto je zapamiętać. Po pierwsze, ośmiu handlowców pojawia się dwa razy: raz jako zwykłe User CAL, raz jako RDS User CAL. To nie jest podwójne liczenie, tylko dwie różne licencje, które się sumują. Po drugie, liczba licencji do Windows Server wyszła 24 przy 25 pracownikach, ale to zbieg okoliczności, a nie reguła. Przy innym układzie zmian mogłoby wyjść 15 albo 40.

Krok trzeci: dostęp pośredni, czyli najdroższa pułapka

Tu powstaje najwięcej braków i najwięcej sporów podczas audytu. Zasada w warunkach licencyjnych Microsoft brzmi tak: licencji dostępowej wymaga każdy użytkownik i każde urządzenie korzystające z danych serwera, również wtedy, gdy robi to przez warstwę pośredniczącą. Nie ma znaczenia, czy łączysz się z bazą bezpośrednio, czy klikasz przycisk w aplikacji, która robi to za Ciebie.

Praktyczny przykład wygląda tak. Firma kupuje SQL Server i dwanaście licencji CAL dla osób pracujących w programie magazynowym. Rok później uruchamia sklep internetowy, który pobiera z tej samej bazy stany magazynowe, oraz aplikację mobilną dla przedstawicieli. Formalnie do SQL Server łączą się dwa konta techniczne. Faktycznie z danych korzystają wszyscy użytkownicy sklepu i wszyscy przedstawiciele, a licencji trzeba tyle, ilu ich jest. Przy nieograniczonym kręgu odbiorców zwykle jedynym rozsądnym wyjściem jest przejście na licencjonowanie SQL Server na rdzenie, gdzie liczba użytkowników przestaje mieć znaczenie. Kiedy który model wychodzi taniej, rozkładamy na stronie o licencjach SQL Server.

Ta sama logika dotyczy raportów. Jeżeli jedna osoba generuje z bazy zestawienie i wysyła je mailem do dwudziestu osób, licencji potrzebuje jedna. Jeżeli te dwadzieścia osób samo otwiera pulpit menedżerski zasilany z bazy, licencji potrzeba dwadzieścia.

Krok czwarty: sprawdź wersje, zanim policzysz pieniądze

Licencja CAL musi być w tej samej wersji co serwer albo nowszej. Reguła działa wyłącznie w jedną stronę: nowszej licencji wolno użyć do starszego serwera, starszej do nowszego nie. Licencje CAL kupione do Windows Server 2019 nie pokrywają więc dostępu do serwera 2025 i przy migracji trzeba je wymienić w komplecie.

To najczęściej pomijana pozycja w budżecie migracji, a bywa większa niż sama licencja serwera. Przy pięćdziesięciu użytkownikach wymiana licencji dostępowych do Windows Server 2025 to około 10 700 zł netto, a każdy użytkownik terminalowy dokłada kolejne 737 zł netto za nową licencję RDS CAL. Jeżeli licencje są objęte Software Assurance, prawo do nowej wersji przychodzi razem z nim i wymiana nic nie kosztuje. Bez Software Assurance zostaje zakup, w tym zakup na legalnym rynku wtórnym.

Przy RDS dochodzi jeszcze kolejność. Licencje RDS CAL instaluje się tylko na serwerze licencji w tej samej wersji Windows Server albo nowszej, więc serwer licencji trzeba podnieść przed hostami sesji, a nie po nich. Zasady licencjonowania samego systemu opisujemy na stronie o licencjach Windows Server.

Kiedy CAL-i nie kupujesz wcale

Są trzy sytuacje, w których rachunek wygląda inaczej. Pierwsza to dostęp użytkowników zewnętrznych, czyli osób spoza organizacji i spoza grona jej wykonawców. Zamiast liczyć licencje dla nieznanej liczby klientów kupuje się wtedy licencję External Connector przypisaną do serwera, która pokrywa nieograniczony dostęp zewnętrzny. Uwaga: pracownik i podwykonawca użytkownikiem zewnętrznym nie jest.

Druga to usługi chmurowe rozliczane w abonamencie. Microsoft 365, Exchange Online czy Azure SQL nie wymagają CAL-i, bo prawo dostępu jest wliczone w subskrypcję. Wtedy problemem przestaje być zgodność, a zaczyna być koszt cykliczny, co porównujemy na stronie o zarządzaniu licencjami Microsoft.

Trzecia dotyczy serwerów, które nie stoją u Ciebie. Jeżeli maszyna jest wynajmowana u dostawcy usług hostingowych dla firm, licencje systemowe rozlicza zwykle sam dostawca w modelu przeznaczonym dla usługodawców, a opłata za dostęp jest wliczona w miesięczny abonament. Warto to potwierdzić na piśmie przed audytem, bo umowy bywają w tym miejscu ogólnikowe, a odpowiedzialność za zgodność i tak spoczywa na korzystającym z serwera.

Jak sprawdzić, ile licencji CAL już masz

Zwykłych licencji CAL nie sprawdzisz w systemie, bo one w nim nie istnieją. Nie ma konsoli, która je policzy, i nie ma mechanizmu, który zablokuje dostęp przy ich braku. Jedynym dowodem posiadania są dokumenty: faktury, umowy wolumenowe i wpisy w portalu licencyjnym. Brak licencji objawia się dopiero w wezwaniu od producenta.

Wyjątkiem są RDS CAL, które widać w Menedżerze licencjonowania pulpitu zdalnego na serwerze licencji, wraz z typem, wersją i liczbą wydanych licencji. Warto tam zajrzeć nawet bez audytu, szczególnie w środowisku per user, gdzie licencjonowanie nie jest egzekwowane technicznie i serwer wyda licencję także z puli przekroczonej. Środowisko działa wtedy bez zarzutu przy dowolnej liczbie użytkowników, także takiej, na którą nikt nigdy nie kupił licencji.

Wynik obu list, kupionej i faktycznej, trzeba zestawić produkt po produkcie. Jak zbudować taki rejestr i utrzymać go na bieżąco, opisujemy na stronie o inwentaryzacji oprogramowania. Jeżeli pismo od producenta już przyszło, kolejność działań i to, czego audytor faktycznie może żądać, rozkładamy w tekście o tym, jak przygotować się do audytu licencyjnego Microsoft.

Co zrobić z wynikiem

Jeżeli wyszedł brak, masz dwie drogi. Można dokupić licencje w kanale producenta, płacąc cenę katalogową, albo uzupełnić je licencjami wieczystymi z legalnego rynku wtórnego, gdzie ta sama pula kosztuje zwykle od 50 do 70 procent mniej. Warunek jest jeden i dotyczy dokumentów: licencje muszą być wieczyste, pochodzić z umowy wolumenowej pierwotnie sprzedanej w Europejskim Obszarze Gospodarczym i mieć pełny łańcuch własności. Podstawą prawną jest wyrok TSUE w sprawie C-128/11, opisany szerzej na stronie o używanych licencjach Microsoft.

Jeżeli wyszedł nadmiar, a przy CAL-ach zdarza się to po każdej redukcji zatrudnienia i po każdej migracji do chmury, licencje wieczyste da się sprzedać i odzyskać zwykle od 30 do 50 procent ceny katalogowej. Ile warta jest konkretna pula, sprawdzisz na stronie o wycenie oprogramowania.

Najgorszy jest trzeci scenariusz, czyli brak wyniku. Firmy, które nie wiedzą, ile mają licencji dostępowych, zwykle dowiadują się tego w najgorszym możliwym momencie, przy piśmie z terminem czternastu dni. Policzenie CAL-i zajmuje jeden dzień pracy i jest to najtańszy dzień w całym tym procesie.

Ten tekst opisuje ogólne zasady licencjonowania i nie jest opinią prawną. Warunki konkretnej umowy wolumenowej mogą zawierać postanowienia szczególne, które warto sprawdzić przed zakupem.