ADFS 2.0: CALs nötig?

[NilsK 2.958]

Moin,

 

leider finde ich zu dem Thema (noch) nichts - hat zufällig jemand diese Frage schon geklärt?

 

Ein Kunde möchte in seinem 2003-basierten Netzwerk die ADFS 2.0 einsetzen. Dazu braucht er einen Server 2008 oder 2008 R2. Soweit, so gut. Nun ist aber die Frage, ob für ADFS 2.0 dann auch 2008-CALs nötig sind.

 

Aus dem Bauch heraus würde ich sagen: Ja. Denn ADFS integriert sich (angeblich, da scheiden sich die Geister schon) als Serverrolle in 2008/R2. Und es authentisiert AD-User gegenüber einer entfernten Applikation.

 

Aber "aus dem Bauch" reicht mir nicht. Weiß schon jemand Konkretes?

 

Gruß, Nils

[phoenixcp 10]

Hallo Nils

 

Ohne jetzt definitives zu dem Thema zu wissen, bin ich aber bei der Recherche über den Blog von Jackson Shaw von Quest gestolpert, der das Thema beharkt:

Jackson's Identity Management & Active Directory Reality Tour Travelblog: Windows Licensing in a Unix, Linux, Apple Mac, Java and Web World

 

Q: My customers and suppliers are authenticating to Active Directory via a web service (Java, .Net, SAML, ADFS, etc.). I have insertyournumberhere of customers and suppliers who will be using this web service. Do I need a Windows CAL for each person who uses this web service or web application?

 

A: No. You must have a Windows CAL for anyone who could be reasonably classified as an employee, temporary worker or a contractor. However, for customers, suppliers or others who are “at arms-length” you do not need a Windows CAL. Again, the text below is pulled from the same page on Windows Server 2008 R2 Client Licensing. The relevant text is contained in the 3rd bullet below which discusses “external users” and the Windows Server 2008 External Connector license. The External Connector license costs $1,999 per server but this is far cheaper than purchasing Windows CALs for a large number of external users.

Client Access Licensing Requirements

Every user or device that accesses or uses the Windows Server 2008 or Windows Server 2008 R2 server software requires the purchase of a Windows Server 2008 Client Access License (Windows Server CAL) except under the following circumstances:

 

* If access to the instances of server software is only through the Internet without being authenticated or otherwise individually identified by the server software or through any other means

* If access is to Windows Web Server 2008 or Windows Web Server 2008 R2

* If external users are accessing the instances of server software and you have acquired a Windows Server 2008 External Connector license for each server being accessed

* For up to two devices or users to access your instances of the server software only to administer those instances

* If you are using Windows Server 2008 R2 solely as a virtualization host (you will still require CALs for your appropriate WS edition running in the virtual machine(s) )

 

Ob das allerdings dem Wissensstand von Dr. Melzer standhalten kann, werden wir merken. ;)

 

Gruß

Carsten

[Dr.Melzer 191]

Aus dem Bauch heraus würde ich sagen: Ja. Denn ADFS integriert sich (angeblich, da scheiden sich die Geister schon) als Serverrolle in 2008/R2. Und es authentisiert AD-User gegenüber einer entfernten Applikation.

 

Die Frage ist: "Warum sollten keine Windows Server CALs benötigt werden?"

 

Wenn sie dafür Server 2008 benötigen kannst du davon ausgehen dass ein (zumindest indirekter) Zugriff erfolgt.

 

Ich sage meinen Kunden immer:

 

"Wenn du den Windows Server abschaltest und anschließend noch alle Clients so arbeiten können wie vor der Abschaltung ist sicher dass keine Client zugreift und du brauchst keine CALs. Wenn irgendetwas nicht mehr funktioniert kannst du davon ausgehen dass ein (möglicherweise indirekter) Zugriff auf den Server erfolgt, welcher eine CAL erfordert."

 

Letztendlich benötigt ADFS eine Windows Server auf dem es läuft und genauso wenig wie du auf einen Exchange zugreifen kannst ohne vorher auf den Windows Server darunter zuzugreifen, wirst du auf ADFS zugreifen können ohne auf den darunter irgendein Windows Server zuzugreifen.

[NilsK 2.958]

Moin,

 

@Carsten: Das ist das umgekehrte Szenario. Dort fragt der Dienstleister, der eine Applikation anbietet. Ich hab aber den Kunden auf der anderen Seite.

 

@DrMelzer: Ja, sehe ich auch so. Nur leider findet man nix Offizielles. Bei Hyper-V hat es vor 18 Monaten auch eine Kehrtwende gegeben ... wäre doof, wenn der Kunde mehrere 10 TEUR umsonst ausgibt. Mal noch etwas warten.

 

Danke!

 

Gruß, Nils

[Dr.Melzer 191]

Nur leider findet man nix Offizielles.

 

Na etwas offizielles sind die Produktnutzungsrechte. Dort steht eindeutig:

 

a) Client-Zugriffslizenzen (CALs).

 

• Sie sind verpflichtet, für jedes Gerät bzw. jeden Nutzer, das bzw. der direkt oder indirekt auf Ihre Instanzen der Serversoftware zugreift, eine CAL zu erwerben und dem entsprechenden Gerät bzw. Nutzer zuzuweisen. Eine Hardwarepartition oder ein Blade wird als separates Gerät betrachtet.

 

Und da ADFS auf einem Windows Server läuft kann es nicht genutzt werden ohne auf den Windows Server zuzugreifen.

 

Anderenfalls wären auch für den Zugriff auf SQL-, Exchange, oder Terminalserver keine Windows CALs notwendig.

 

Wie gesagt stellt sich für mich eher die Frage warum keine Windows Server CALs notwendig sein sollten.

[NilsK 2.958]

Moin,

 

das ist schon klar. Nur galt diese Argumentation auch für Hyper-V, bis Microsoft nach ein paar Wochen mal eben die PUR geändert hat.

 

Anscheinend gibt es derzeit für ADFS 2.0 zumindest nichts in der Richtung. Dann werde ich dem Kunden das so mitteilen.

 

Sind halt mal eben 4000 User, für die die CAL-Beschaffung den Preis des Projekts hochtreibt. Wäre zu doof, wenn es da wieder eine Kehrtwende gibt (oder man einfach eine Produkt-Besonderheit übersieht) und man die Kosten nicht auf das Projekt hätte buchen müssen. (Früher oder später wird der Kunde 2008-CALs brauchen - aber dann ist vielleicht ein anderes Budget dafür zuständig.)

 

Danke & Gruß, Nils

[Dr.Melzer 191]

Ich verstehe deine Bedenken aber der aktuelle Stand ist wie beschrieben.

 

Das Risiko heute zu kaufen und morgen fallen die Preise (oder ändern sich die Lizenzregeln) hast du immer.

 

Letztendlich kannst du dem Kunden sagen dass du dich eingehend informiert hast aber keine Möglichkeit gefunden hast ohne CALs auszukommen. Das sollte er honorieren denke ich.