Как организовать управление корпоративными лицензиями Windows в текущих условиях?

Коротко — полностью «универсального» обходного пути сейчас нет: если корпоративные VL‑каналы недоступны из‑за ограничений, придётся выбирать между (1) покупкой множества OEM/BOX‑лицензий и организацией централизованного управления ими, (2) поиском легального остатка/альтернатив у авторизованных партнёров/Microsoft‑реселлеров (если это возможно) или (3) сменой архитектуры (централизованные RDS/VM/серверы с меньшим числом лицензий). Ниже — практическое руководство и варианты, которые можно рассмотреть (без пиратства).

1) Сначала — аудит и требования
- Проинвентаризируйте, какие машины действительно требуют Windows 10/11 (компьютеры с COMПАС и пр.), а какие могут остаться на Windows 7/8.1 (если это вообще безопасно и допустимо).  
- Определите, сколько лицензий нужно сейчас и в перспективе (замены/ремонт/рост).  
- Зафиксируйте требования по функционалу (Pro/Enterprise/необходим ли Hyper‑V, BitLocker, Group Policy и т.п.).

2) Варианты приобретения лицензий (легально)
- Обратиться к авторизованному Microsoft‑партнёру/реселлеру. Уточнить наличие остатков корпоративных лицензий (VL) или возможность покупки через CSP/Microsoft 365. В разных юрисдикциях и у разных партнёров доступность отличается — это нужно проверить официально.  
- Подписочные варианты (Windows 10/11 Enterprise E3/E5 в составе Microsoft 365) — удобны управлением, дают централизованный корпоративный профиль и простую замену/перенос лицензий; но зависят от возможности покупки в вашей юрисдикции.  
- Если VL недоступны — OEM/BOX (System Builder) остаётся легальным вариантом для каждой машины. Минус — много отдельных ключей и учет.  
- Альтернатива: централизованное размещение ПО (см. пункт «Архитектура»): подобрать несколько серверов/виртуальных машин с лицензированием сервера/Remote Desktop Services и запускать COMПАС централизованно — тогда понадобится меньше клиентских оконных лицензий.

3) Как централизованно управлять множеством OEM/BOX‑ключей
- Volume Activation Management Tool (VAMT). Бесплатный инструмент из Windows ADK: позволяет инвентаризировать установки Windows, хранить ключи, массово устанавливать ключи и инициировать активацию, отчёты по активациям. Подходит для управления сотнями ключей.  
- Использовать централизованные инструменты развёртывания: MDT/Windows Deployment Services, System Center Configuration Manager (SCCM / Endpoint Configuration Manager), PDQ Deploy, Intune (при наличии подписки). В них можно хранить/шаблонизировать и массово применять ключи (скрипты slmgr.vbs), а также автоматизировать восстановление/замену ПК.  
  - Примеры команд: slmgr /ipk <ключ> — установить ключ; slmgr /ato — инициировать активацию. Эти команды можно запускать через SCCM/PSExec/скрипты при первичной настройке.  
- Хранение ключей: использовать зашифрованное хранилище (Password Manager/Secret Vault) или возможности VAMT; не держать ключи в открытых Excel/сценариях. Ограничить доступ по ролям.  
- При создании образов — не включайте в образ персональные ключи; используйте Generic/Unattend и подставляйте ключи при установке/восстановлении. Unattend.xml позволяет задать ProductKey для автоматической установки.

4) Архитектурные решения, которые снизят число клиентских лицензий
- Терминальный доступ (RDS) / виртуальные рабочие столы: установить COMПАС на сервер(ы) и предоставить доступ с клиентских машин. Лицензирование Windows Server + RDS CALs может оказаться проще доступным, чем сотни клиентских Windows лицензий. Минус — производительность и совместимость драйверов/графики (особенно для САПР/графики).  
- Виртуальные машины: центральный VDI/VM‑хост с меньшим количеством лицензий для хоста. Аналогичны RDS с точки зрения плюсов/минусов.  
- Хост‑сервис у провайдера (если доступно): аренда виртуальных рабочих столов у провайдера, где лицензирование решает провайдер.

5) Процедуры, процессы и инструменты для поддержки
- Ввести процесс «приём/замена ПК» с шагами: загрузка образа → назначение ключа из защищённого хранилища → регистрация в инвентаризации → отчёт об активации.  
- Использовать системы ITAM/SAM: Lansweeper, GLPI+FusionInventory, ManageEngine AssetExplorer, Snow License Manager и т.п. Они помогают отслеживать соответствие и искать неиспользуемые/перепрошитые ключи.  
- Резервные варианты: если ПК часто меняются, храните ключи по серийным номерам/штрихкодам материнских плат, чтобы при замене гарантировать корректное переиспользование (OEM‑ключи, однако, обычно привязаны к железу).

6) Практические рекомендации по следующему шагу
- Срочно провести аудит текущих ключей/лицензий и определить реальную потребность.  
- Связаться с несколькими авторизованными реселлерами Microsoft — спросить про остатки VL, CSP‑варианты, доступность Windows 10/11 Enterprise и Windows Server. Официальный путь — лучше всего.  
- Параллельно подготовить инфраструктуру управления: поставить VAMT + ADK, настроить MDT/SCCM/Intune (в зависимости от возможностей) и завести безопасное хранилище ключей.  
- Оценить возможность перехода на терминальный/виртуальный вариант для COMПАС, если это уменьшит число лицензий и упростит контроль.  
- Документировать политику работы с ключами и ответственность (кто устанавливает, кто имеет доступ, журналы).

7) Что НЕ делать
- Не использовать неофициальные/серые ключи и не нарушать локальные/международные ограничения — это риск юридических и операционных последствий.  
- Не хранить ключи в открытых таблицах без шифрования и контроля доступа.

Если хотите — могу:
- Помочь составить чек‑лист аудита лицензий (какие данные собрать по каждому ПК).  
- Подготовить пример процесса развёртывания с использованием VAMT + MDT и шаблона Unattend.xml для автоматического задания ключа.  
- Подготовить список вопросов для контакта с реселлером/партнёром Microsoft, чтобы выяснить доступность VL/CSP/подписок в вашей ситуации.

Напишите, что из этого актуально (сколько ПК, есть ли SCCM/Intune, требование к производительности для COMПАС), и я подготовлю более конкретный план.

добавлю свои 5 копеек ко всему уже сказанному: <br/> 1. когда я был молодой и продавал ОЕМ-версии Windows, то, по правилам MS, ОЕМ-лицензию можно было продать с любой деталью, которая вставляется внутрь ПК: проц, планка памяти, HDD. Активация привязывалась к HardwareID и допускалась одновременная замена до трех комплектующих. <br/> 2. Коробки (FPP,  Retail Channel) можно продавать как угодно. При этом у вас на ПК может стоять левый ключ, а коробка лежать на полке нераспечатанная. Вы можете активировать все свои Windows retail-ключом от Massgrave, а в случае проверок и разных маски-шоу показать товарищам полки с рядами коробок и/или соответствующие бухгалтерские документы. Главное, чтобы канал распространения ключа был один и тот же, т.е.  купленной коробкой (Retail) вы не можете закрыть VL-ключ <br/> 3. Честно купить сейчас Windows 10, скорее всего, нереально, ибо продукт в состоянии End Of Life - купить можно Windows 11 (FPP или OEM). Но, если я правильно помню, ни ОЕМ, ни FPP не имеют прав на понижение версии (downgrade). <br/> 4. 300 ключей - с этим справятся Блокнот/Excel и т.д. Скорее всего, у вас есть и Active Directory - соответственно, создание/изменение связки ПК-Ключ можно автоматизировать (например, Powershell и атрибуты AD) <br/> <br/> вроде ничего не забыл...вспомню - добавлю

<blockquote>давно были куплены корп.лицензии MS для Windows 7/8.1- единый ключ установки</blockquote> мне не до конца понятна проблема... <br/> я купил в ДНС 8 OEM SL Pro.. <br/> и реактивировал с каждым обновлением железа, и успешно доапгрейдил до 11.. <br/> это не работает с корпоративными ключами? <br/> <br/> ps когда я еще был в большом - работало

Официально M$ в РФ ничего корпоративного не продает, поэтому что-то приобрести с нормальным управлением лицензиями - невозможно. <br/> <br/> Все, что продается - "серая зона". К тебе не будет вопросов ровно до тех пор, пока к тебе не будет вопросов... <br/> <br/> Windows покупается только OEM. Да, ими трудно управлять - выделил шкаф, составил коробки по полкам, каждую подписал, на какой комп поставлена. <br/> Так же покупается офис. Но с офисом проще в том смысле, что можно использовать и Office 2007, если есть корпоративная лицензия.

Вам в любом случае придется уходить в серую зону. <br/> Как вариант поднять в сети kms в докере и активировать через него. <br/> На комах сотрудников поставить Linux типа бубунты или calculate. <br/> Настроить им RDP доступ к терминальному серверу на винде для тех кто совсем не может. <br/> Для тех кому нужен Компас и почему-то нельзя на linux, тоже самое. Но в виртуалку с терминальным сервером прокинуть проф видюху(десктопные не смогут, драйвера не дадут ). Настроить в политиках RDP использовать аппаратную поддержку RDP. Модельки они крутить смогут, но там конкурентный доступ к видеопамяти, много инженеров на один сервак не пустишь, особенно если модели большие. Но 3-4 человека запросто. <br/> Так что да, все те, кто может на лине, в линь. Все кто не могут, пусть ходят через RDP. <br/> Для обычной проверки компов сотрудников, должно хватить линя на компах.