IIS licentie vraag

[Verwijderd]

Beste Tweakers,

Ik viel net even helemaal van mijn stoel van het antwoord vanuit Microsoft met betrekking tot onze hosting licentie vraag. Ik hoop dat iemand hier aan kan geven dat ze het toch mis hebben.

De wens:

We hebben in DotNetNuke een intranet gemaakt voor een klant. Deze gaat integreren met de AD. De server komt dan ook fysiek bij de klant in het serverpark te staan. Met windows authentication is de gebruiker dus direct ingelogd op het intranet op basis van de windows login.

De licentie vraag aan MS:

Welke OS versie hebben we nodig (ik zou het liefst windows server 2012 standard inzetten) en zijn er ook CAL's noodzakelijk voor deze gebruikers? De gebruikers hebben allemaal al een CAL binnen het huidige domein.

Het antwoord:

Je hebt voor elke gebruiker een CAL nodig als de OS versie van de webserver afwijkt van die van de domein controller. Is de authenticatie op een windows 2008 server en je hebt een windows 2008 webserver dan mag je die cals gebruiken, maar plaats je een windows 2012 IIS server naast een 2008 AD dan moet je opnieuw CAL's aanschaffen.

Waarom dit absurd lijkt

Ik begrijp in eerste instantie al niet waarom er voor een intranet applicatie binnen het bedrijf zelf waarvan de gebruikers dus al CAL's hebben op het domein nog weer nieuwe CAL's nodig zijn voor de IIS server. Maargoed, daar kan ik mee leven.

De applicatie draait prima op Windows Server 2008. Stel dat ik het daar op zet dan heb ik dus geen CAL's nodig, want de AD is ook server 2008.

Echter, gaat de klant nu later ooit de AD upgraden naar 2012, dan zouden ze dus ineens spontaan illegaal bezig zijn. Dat kan toch niet de bedoeling zijn.

Plaats ik nu een 2012 IIS server en koop ik daar voor elke gebruiker weer een CAL bij dan zie ik dit ook fout gaan. Het systeembeheer van de gebruiker zal voor een nieuwe gebruiker gewoon een AD CAL kopen. Ik weet zeker dat die vergeten dan ook voor de IIS server een CAL mee te nemen. Het systeem zal gewoon blijven werken, toch zijn er dan ineens gebruikers illegaal bezig.

Als optie gaf de mevrouw nog het aanschaffen van een external connector, maar die zou extreem duur zijn. Ik heb de prijs nog niet opgevraagd, maar ik dacht dat een external connector was voor het geval dat je niet weet wie je klanten nou precies allemaal zijn. En dat weten we hier, dat zijn namelijk de mensen van het bedrijf die in AD al netjes een CAL hebben.

Op de vraag aan Microsoft hoe ik dit nu netjes op kan lossen zonder dat de klant later ineens in overtreding is kon ze mij verder geen antwoord geven.

Heeft iemand hier ervaring mee? Zie ik iets over het hoofd?

[Brahiewahiewa]

Verwijderd schreef op donderdag 25 juni 2015 @ 16:34:
...Echter, gaat de klant nu later ooit de AD upgraden naar 2012, dan zouden ze dus ineens spontaan illegaal bezig zijn. Dat kan toch niet de bedoeling zijn...

Je overdrijft; als de AD geupgrade wordt naar 2012, moet de webserver ook geupgrade worden.
Zo moeilijk is dat toch niet?

[ralpje]

Sterker nog, volgens mij is er een downgrade recht op CAL's. Als je dus je CAL's op 2012 hebt, gelden die ook voor je 2008 server.

[Verwijderd]

@ralpje: Volgens de mevrouw van Microsoft kon dat niet. Als dat wel kon dan zou dat ook irritant zijn. Ze hebben nu een 2008 AD dus als ik een 2012 IIS in de offerte zet dan moet ik daar ook CAL's bij opnemen en gaat mijn offerte duurder worden. Als ze dan zelf ooit upgraden naar 2012 dan zouden die CAL's ineens niet meer nodig zijn.

@Brahiewahiewa, het probleem is, wij zijn niet de IT leverancier van deze klant. We moeten eigenlijk een "intranet in a box" leveren. Maar het probleem met het licentiemodel van MS is dus dat het direct een afhankelijkheid heeft met de hele interne structuur.

Ik zie het vaak genoeg gebeuren dat een upgrade gefaseerd gaat. Men upgrade AD en werkplekken, maar de webservers komen wel een jaartje later als er weer budget is. Ik weet gewoon zeker dat ze daar niet bij stil staan, zijn ze wel ineens licentietechnisch in overtreding. Daarbij blijft het vreemd dat ze in het ene geval ineens wel 80 CAL's extra af kunnen tikken (want om zoveel gebruikers gaat het) en in het andere geval niet.

Zou ik hier omheen kunnen werken? Als ik nou geen AD authentication doe, ik kan op de IIS server wel gewoon de username uitvragen uit de host headers en op basis daarvan een LDAP query doen naar AD. Hebben we dan geen CAL's meer nodig?

[Verwijderd]

Nou begint het echt vreemd te worden. Ik ben net terug gebeld door onze licentie leverancier en die geeft aan dat als mensen al een CAL hebben op het domein dat ze met die CAL dan gewoon over allerlei andere servers mogen, dus ook een nieuwe IIS server. Dit spreekt het verhaal dat we van Microsoft hoorde 100% tegen. Gelukkig heb ik beide gesprekken opgeslagen.

[Meekoh]

Nee, CAL's zijn gebonden aan een OS versie. En zijn nodig voor iedere gebruiker die een functionaliteit op de server gebruikt over het netwerk.
Heb je dus een klant met 2008 CAL's, dan gelden die alleen voor toegang tot 2008 servers (en lager).
Heb je dus een klant met 2012 CAL's, dan gelden die alleen voor toegang tot 2012 servers (en lager).
Maakt ook niet uit of je AD authenticatie doet of niet, Gebruikers benaderen een Windows Server, dus moeten er CAL's zijn (of als het over het internet is, een External Connector licentie).
Alleen als je echt geen authenticatie doet met een IIS Webserver heb je geen CAL's nodig.

Lees anders ook ff: http://blogs.technet.com/...t-access-license-cal.aspx

[johnkeates]

Kan je het niet op een ander OS laten draaien? Volgens mij kan je als je niet de allerlaatste versie van .NET gebruikt alles gewoon op non-IIS non-Windows servers draaien.

[Jazzy]

Vraag van beide adviseurs een verwijzing naar de relevante tekst uit de PUR. Of beter nog, vraag het niet maar lees zelf hoe het zit: https://www.microsoft.com...t-licensing/products.aspx

[Glashelder]

johnkeates schreef op vrijdag 26 juni 2015 @ 12:58:
Kan je het niet op een ander OS laten draaien? Volgens mij kan je als je niet de allerlaatste versie van .NET gebruikt alles gewoon op non-IIS non-Windows servers draaien.

De authenticatie is hier belangrijk. Want daarvoor moet een connectie gelegd worden met een Windows Server (in dit geval) en daar is een CAL voor nodig. Dat gaat dus niet helpen.

Het kan aan mij liggen, maar wellicht snap ik het probleem niet zo? Je hebt gewoon CAL's nodig voor de recenste versie van Windows Server die je gebruikt. Als je dat in je achterhoofd houdt, dan is het toch niet zo vreemd dat de klant in overtreding is als hij zonder CAL's aan te schaffen zomaar een upgrade naar 2012 uitvoert? Dat staat toch compleet los van jullie applicatie en server? Verder schaf je CAL's per user of device aan die verbinding maken. Hoeveel servers je verder gebruikt boeit niet.. Wat je leverancier hier zegt is dus gewoon correct:

Verwijderd schreef op vrijdag 26 juni 2015 @ 10:57:
Nou begint het echt vreemd te worden. Ik ben net terug gebeld door onze licentie leverancier en die geeft aan dat als mensen al een CAL hebben op het domein dat ze met die CAL dan gewoon over allerlei andere servers mogen, dus ook een nieuwe IIS server. Dit spreekt het verhaal dat we van Microsoft hoorde 100% tegen. Gelukkig heb ik beide gesprekken opgeslagen.

Uiteraard klopt dit alleen als de CAL's geldig zijn voor het OS dat jij hebt geïnstalleerd!

Brahiewahiewa schreef op donderdag 25 juni 2015 @ 22:05:
[...]

Je overdrijft; als de AD geupgrade wordt naar 2012, moet de webserver ook geupgrade worden.
Zo moeilijk is dat toch niet?

offtopic:
Je kan prima webservers hebben op Server 2008 in een 2012 functional level domain of 2012 domain controllers in een 2008 functional level domain?

[ Voor 18% gewijzigd door Glashelder op 26-06-2015 13:23 ]

[Verwijderd]

Dank voor alle reacties!

Als ik het goed begrijp, het bedrijf heeft al CAL's voor de huidige gebruikers. Ze hebben een Windows 2008 AD, een Windows 2008 fileserver en mensen loggen in op een windows 7 werkplek.

Elke gebruiker heeft een windows 7 licentie en een CAL voor het domein. Met die CAL zouden ze toch verbinding mogen maken met het domein, bestanden benaderen op de fileserver en ook verbinding mogen maken naar deze nieuwe IIS server? Ze hebben toch niet voor elke server een nieuwe CAL nodig?

Alleen zouden we er een Windows 2012 standard server met IIS op zetten en deze op AD Authentication laten werken met de 2008 AD dan mag dat dus niet? De user doet de authenticatie op het 2008 domein waar dus al een CAL voor is. De 2012 IIS doet een validatie van die credentials.

Maargoed, ze forceren ons dan dus om een 2008 IIS server te leveren met een oudere IIS versie, want dat gaat gewoon 80 CAL's besparen en nog weer eens een nieuwe voor elke nieuwe medewerker. Maar dan mag het dus wel?

Zou dan een normale Windows Server 2008 standard licentie volstaan, die mogen we dan koppelen aan het domein en met Windows Authentication de gebruikers die daar dus al een CAL op hebben mee valideren?

Ik wist eigenlijk niet dat er andere besturingssystemen waren waar je .NET sites op kon hosten. We hebben daar in elk geval geen ervaring mee en ik durf het risico eigenlijk niet te nemen dat een bepaald component dan niet werkt of dat we het niet weten te configureren. Maar met deze tegenstrijdige verhalen en licentievormen begint Microsoft het wel heel verleidelijk te maken dat inderdaad eens goed te onderzoeken.

[ralpje]

Verwijderd schreef op vrijdag 26 juni 2015 @ 15:32:
Elke gebruiker heeft een windows 7 licentie en een CAL voor het domein. Met die CAL zouden ze toch verbinding mogen maken met het domein, bestanden benaderen op de fileserver en ook verbinding mogen maken naar deze nieuwe IIS server? Ze hebben toch niet voor elke server een nieuwe CAL nodig?

Klopt, zolang de CAL's gelden voor het 'hoogste' besturingssysteem in je netwerk (dus 2008, in dit geval)

Alleen zouden we er een Windows 2012 standard server met IIS op zetten en deze op AD Authentication laten werken met de 2008 AD dan mag dat dus niet? De user doet de authenticatie op het 2008 domein waar dus al een CAL voor is. De 2012 IIS doet een validatie van die credentials.

Maargoed, ze forceren ons dan dus om een 2008 IIS server te leveren met een oudere IIS versie, want dat gaat gewoon 80 CAL's besparen en nog weer eens een nieuwe voor elke nieuwe medewerker. Maar dan mag het dus wel?

Klopt.

Zou dan een normale Windows Server 2008 standard licentie volstaan, die mogen we dan koppelen aan het domein en met Windows Authentication de gebruikers die daar dus al een CAL op hebben mee valideren?

Ja.

[Jazzy]

Verwijderd schreef op vrijdag 26 juni 2015 @ 15:32:
Maargoed, ze forceren ons dan dus om een 2008 IIS server te leveren met een oudere IIS versie, want dat gaat gewoon 80 CAL's besparen en nog weer eens een nieuwe voor elke nieuwe medewerker. Maar dan mag het dus wel?

Nee hoor, je bent vrij om welke oplossing dan ook te leveren. Klant moet alleen zorgen dat hij licenties in huis heeft of aanschaft. Als jij te maken hebt met de beperking dat klant geen licenties aan wil schaffen voor een versie nieuwer dan Server 2008 dan zul je je oplossing dus op basis van Server 2008 moeten bouwen.

Verder nog even dit... Windows Server 2008 is sinds begin van dit jaar in Extended Support, dat betekent dat alleen nog kritische beveiligingslekken worden opgelost. En ook Server 2012 waar jij het over hebt is al opgevolgd door Server 2012 R2 en later dit jaar komt Server 2016 uit.

Blijkbaar moet je eens met je klant gaan praten over zijn plannen richting de toekomst. Ik kan me niet voorstellen dat ze daadwerkelijk plannen om het tot 2020 uit te zitten met Server 2008. En zelf natuurlijk niet Server 2012 als alternatief aanvoeren met Server 2012 R2.

[Verwijderd]

@Ralpje, bedankt voor de bevestiging!

@Jazzy, Je hebt gelijk! Daar waar ik het over 2012 had bedoel ik overigens al wel de R2 variant. Ik denk dat deze klant wacht tot de kinderziektes uit 2016 zijn en dan daar naar gaat migreren. 2012 zullen ze waarschijnlijk helemaal overslaan. Maargoed, dit is allemaal aan de klant en wij doen helaas daar niet het systeembeheer.

Voor ons alleen irritant dat we met het opleveren van software oplossingen rekening moeten houden met wat de klant heeft draaien. We kunnen de mooiste features bedenken in de nieuwste technologie, maar loopt de klant toevallig achter in haar eigen netwerk dan kan dat dus een enorme extra kostenpost met zich mee brengen en prijzen wij onszelf uit de markt.

In dit geval maakt het gelukkig niet uit, de oplossing gaat ook prima werken op een 2008 IIS. Maar ook daar zal gelden dat ze die dan op termijn zullen moeten vervangen. En wij moeten dus in de offerte heeeeel duidelijk aangeven dat we de oplossing leveren op een OS dat al bijna door de support heen is maar dat dit dus met een bepaalde reden is gedaan.

Ik vraag mij dan alleen nog af of we hier omheen kunnen werken door een eigen LDAP connector te maken. Die zou dan op de IIS server onder een serviceaccount kunnen draaien. Voor dat service account is dan maar één CAL noodzakelijk en die kan daarmee de AD voor alle gebruikers uitvragen.

[Jazzy]

Verwijderd schreef op vrijdag 26 juni 2015 @ 16:05:
Voor ons alleen irritant dat we met het opleveren van software oplossingen rekening moeten houden met wat de klant heeft draaien. We kunnen de mooiste features bedenken in de nieuwste technologie, maar loopt de klant toevallig achter in haar eigen netwerk dan kan dat dus een enorme extra kostenpost met zich mee brengen en prijzen wij onszelf uit de markt.

In dit geval maakt het gelukkig niet uit, de oplossing gaat ook prima werken op een 2008 IIS. Maar ook daar zal gelden dat ze die dan op termijn zullen moeten vervangen. En wij moeten dus in de offerte heeeeel duidelijk aangeven dat we de oplossing leveren op een OS dat al bijna door de support heen is maar dat dit dus met een bepaalde reden is gedaan.

Waarom ga je het gesprek niet gewoon aan met klant? Klant zal zich er waarschijnlijk wel van bewust zijn dat ze eerdaags nieuwe licenties aan moeten schaffen. Ik denk dat je de noodzaak voor recente licenties los moet koppelen van jullie oplossing, want als het niet voor jullie oplossing is dan zal het wel voor één van de eerstvolgende nieuwe servers gelden dat ze de portemonnee moeten trekken.

Het is in dit soort gevallen ook maar net hoe je het aankleedt. Je kunt een enorm probleem neerleggen maar klant ook gewoon even attenderen op het feit dat ze hun licenties moeten upgrade, of als alternatief aanbieden om de oplossing op verouderde software uit te rollen. De keuze is aan klant, met een grote kans dat hij de nodige licenties gewoon aanschaft en jij aan kunt bieden op Server 2012 R2.

[ Voor 15% gewijzigd door Jazzy op 26-06-2015 16:10 ]

[Verwijderd]

Het probleem is een beetje dat dit een internationaal bedrijf is waarbij wij zaken doen met het Nederlandse deel. Ze zouden ook een intranet krijgen die door de internationale moedermaatschappij wordt ontwikkeld. Daar wachten ze ook al jaaaren op en nu hadden ze dan eindelijk toestemming dat dan zelf te laten ontwikkelen.

Ze kunnen een beetje hoog en laag springen wat ze willen, maar het doorvoeren van nieuwe versies op de infrastructuur gaat via het internationale moederbedrijf en de grote IT bedrijven die dat voor ze beheren. Die weten zeker al wel dat ze over moeten, maar gaan dat niet versnellen omdat een partij die nu voor het Nederlandse deel toevallig een intranet heeft gemaakt dat adviseert.

[Jazzy]

Mmm, lastige situatie. Dat zal dus Server 2008 worden.