Основные приемы работы с Key Management Service (KMS) на Windows 7 и Windows Server 2008 R2

Для изучения вопроса пришлось ознакомится с документами размещенными на узле TechNet Library - Volume Activation
Из всего перечитанного можно отметить два самых содержательных и подробных гайда:

Руководство по планированию развертывания Volume Activation ОС Windows 7 и Windows Server 2008 R2
(Скачать: Volume Activation Planning Guide_Windows7.docx)
Опубликовано: июнь 2009.

Руководство по развертыванию Volume Activation ОС Windows 7 и Windows Server 2008 R2
(Скачать: Volume Activation Deployment Guide_Windows7.docx)
Опубликовано: июнь 2009 г.

Русскоязычные версии гайдов можно найти по ссылке
TechNet Library > Deployment > Volume Activation > Localized Content

В данном посте тезисно выжаты основные важные моменты из документации.
Сразу хочу отметить что приемы работы с публикацией KMS в DNS для последующей авто-активации клиентов рассматриваться не будет.

Поднятие сервера KMS

По ряду субъективных причин я изначально решил отказаться от публикации SRV записей службы KMS в DNS.
Для того чтобы ограничить круг общения возможных клиентов с нашим KMS сервером можно использовать несколько разных способов.
В нашем примере это будет самый примитивный способ - явное указание на клиенте полномочного KMS сервера с последующей активацией "в рукопашную".

На сервере, который мы выбрали для роли KMS отключаем авто-публикацию сервиса в DNS и затем выполняем установку KMS ключа многократной установки командами:

Slmgr.vbs /cdns
Slmgr.vbs /ipk XXXXX-XXXXX-XXXXX-XXXXX-XXXXX

На самом деле утилита Slmgr представляет собой ничто иное как обычный vbs скрипт (также его называют "сценарий диспетчера лицензий"), посредствам которого и происходят все манипуляции со службой управления ключами как на KMS сервере, так и на клиенте.
Slmgr.vbs может использовать Wscript.exe или Cscript.exe, а администраторы могут указать, какой обработчик сценариев необходимо использовать. Если обработчик сценариев не указан, Slmgr.vbs запускается с помощью обработчика сценариев по умолчанию wscript.exe

После ввода ключа мы должны авторизовать наш сервер в Microsoft, для чего на период активации должен быть обеспечен прямой выход в интернет. Активируем KMS сервер через интернет командой:

Slmgr.vbs /ato

После того как мы получим сообщение об успешной активации, перезапускаем службу Software Licencing Service:

net stop sppsvc
net start sppsvc

Теперь наш сервер готов активировать клиентов (разумеется нужно учесть необходимость набора порога активаций, об этом далее в выдержках из документации).

Основные моменты в работе службы KMS

Для активации KMS необходимо, чтобы сеть соответствовала требованиям порога активации или превышала его (порог активации — это минимальное количество соответствующих компьютеров, которое требует служба KMS). Узлы KMS активируют клиентов только по достижении этого порога.
Для компьютеров, работающих под управлением ОС Windows Server 2008 или Windows Server 2008 R2, порог активации составляет 5.
Для компьютеров, работающих под управлением ОС Windows Vista или Windows 7, порог активации составляет 25.
Volume Activation Planning Guide_Windows7 (стр.8)

Активации KMS действительны в течение 180 дней. Этот период называется сроком действия активации.
Чтобы оставаться активированными, клиенты KMS должны обновлять активацию, выполняя подключение к узлу KMS как минимум каждые 180 дней.
По умолчанию клиентские компьютеры KMS выполняют обновление активации каждые семь (7) дней, если попытка активации KMS не удалась,
клиент будет повторять ее через каждые два часа. После обновления клиентской активации отсчет срока действия активации начнется заново.
Volume Activation Planning Guide_Windows7 (стр.9)

Каждый ключ KMS может быть установлен на не более чем шести узлах KMS
Volume Activation Planning Guide_Windows7 (стр.11)

Использовать ключ MAK рекомендуется для компьютеров, которые редко или никогда не подключаются к корпоративной сети, а также для сред,
в которых количество физических компьютеров, требующих активации, не соответствует пороговому значению активации KMS.
MAK может использоваться для отдельных компьютеров или с образом, который может быть дублирован или предоставлен для загрузки с помощью решений развертывания Майкрософт. MAK также может использоваться на компьютере, который первоначально был настроен на использование активации KMS.
Это полезно для перевода компьютера из основной сети в отключенную сеть.
Volume Activation Planning Guide_Windows7 (стр.12)

Настройка брандмауэра на сервере KMS : разрешить входящие подключения RPC через TCP (порт TCP 1688)
Volume Activation Planning Guide_Windows7 (стр.14)

Если виртуальный узел KMS будет перемещен на другой узловой компьютер, операционная система обнаружит изменение на выделенном оборудовании
и потребуется повторная активация узла KMS с помощью корпорации Майкрософт. Узлы KMS могут активироваться в корпорации Майкрософт до девяти раз
Volume Activation Planning Guide_Windows7 (стр.16)

Чтобы проверить правильность настройки узла KMS, проверьте счетчик KMS на предмет возрастания значений.
В окне командной строки на узле KMS введите

Slmgr.vbs /dli

для отображения текущего счетчика KMS
Volume Activation Deployment Guide_Windows7 (стр.16)

Отключение публикации записей SRV KMS на DNS.
Узлы KMS автоматически публикуют свое существование путем создания записей SRV в DNS.
Чтобы отключить авто-публикацию DNS узлом KMS, используйте сценарий

Slmgr.vbs /cdns

Volume Activation Deployment Guide_Windows7 (стр.15)

Основные приемы работы с клиентами KMS

Администраторы могут вручную назначить узел KMS клиентам KMS с помощью кэша узла KMS. Назначение узла KMS вручную отключает авто-обнаружение KMS на клиенте KMS. Узел KMS назначается вручную клиенту KMS путем запуска следующей команды:

Slmgr.vbs /skms <value>:<port>

где value является KMS_FQDN, IPv4Address или NetbiosName узла KMS, а port — порт TCP на узле KMS.

На клиентах с поддержкой WinRM (WS-Management) при желании можно выполнить данную команду удаленно, выглядеть это будет примерно так:

winrs -r:Computer cscript %systemroot%system32Slmgr.vbs /skms <value>:<port>

Если функция автообнаружения отключена, она может быть повторно включена путем выполнения команды:

Slmgr.vbs /ckms

Volume Activation Deployment Guide_Windows7 (стр.18-19)

При создании демонстрационных виртуальных компьютеров для внутреннего использования (например, создание виртуальных компьютеров для отделов продаж организации или для создания временной обучающей среды) можно выполнить запуск сценария для того чтобы продлить льготный период на 30 дней

Slmgr.vbs /rearm

что в свою очередь сбрасывает таймер активации, но не вызывает никаких изменений на компьютере.
Можно сбрасывать таймер активации три раза для компьютеров под управлением Windows 7 или Windows Server 2008 R2.
Volume Activation Deployment Guide_Windows7 (стр.21)

Для активации клиентов KMS вручную (например, отключенных клиентов) до их распределения пользователям используйте элемент системы панели управления или запустите в командной строке с повышенными правами:

Slmgr.vbs /ato 

Сценарий Slmgr.vbs сообщает об ошибке или успешном выполнении активации с предоставлением кода результата.
Для выполнения активации клиент KMS должен иметь доступ к узлу KMS в сети организации.
Volume Activation Deployment Guide_Windows7 (стр.22)

Примечание:
По умолчанию, для активации используются исходящие соединения от клиента к серверу KMS по порту TCP 1688

Для преобразования существующих клиентов KMS в клиентов MAK достаточно установить ключ MAK.
Аналогичным образом, для преобразования клиентов MAK в клиентов KMS запустите следующую команду:

Slmgr.vbs /ipk <KmsSetupKey>

где KmsSetupKey — один из нижеперечисленных ключей установки:

Windows 7

Windows Server 2008 R2