200 台电脑的激活之痛
2025 年底，一家苏州制造企业的 IT 负责人找到我们，说了一个很现实的困境：公司采购了 200 台 Windows 10 LTSC 2021 工作站和 Office LTSC 2021，采购时预装了正版系统，但每台电脑都需要手动输入 MAK 密钥激活。
IT 部门只有 3 个人，光给 200 台电脑一台一台输密钥，就花了两周时间。更头疼的是：
- MAK 密钥只有 500 次激活额度，用完了要重新申请
- 重装系统后需要再次激活，额度消耗更快
- 无法统一查看哪些电脑已激活、哪些未激活
- 员工离职后电脑重置，IT 无法追溯激活记录
这不是个别现象。很多成长型企业在规模扩张时，都会遇到批量激活的管理盲区。问题的本质是：选择哪种批量激活方案，取决于企业的规模和长期规划。
KMS vs MAK：两种批量激活方案怎么选？
微软为企业提供了两种批量激活方式：KMS（密钥管理服务）和 MAK（多次激活密钥）。它们不是替代关系，而是适用不同场景。
| 对比维度 | KMS | MAK |
|---|---|---|
| 激活原理 | 客户端连接企业内网 KMS 服务器激活，每 180 天续期一次 | 每台电脑联网或电话直接激活，一次激活永久有效 |
| 适用规模 | Windows 10 LTSC 2021 ≥ 5 台，Office LTSC 2021 ≥ 25 台 | 5 台以下小规模，或临时激活需求 |
| 管理成本 | 低。配置一次，客户端自动激活，IT 无需逐台操作 | 高。每台电脑单独输入密钥，重装需重新激活 |
| 密钥成本 | 一个 KMS 主机密钥即可激活不限量客户端 | 按客户端数量购买，每台消耗一次激活额度 |
| 网络依赖 | 需要客户端能访问内网 KMS 服务器（TCP 1688） | 需要联网或电话激活，离线环境可电话激活 |
| 续期机制 | 客户端每 180 天自动续期，需保持至少一台客户端在线 | 激活后永久有效，无续期要求 |
| 推荐场景 | KMS 适合 50 台以上、有域环境的稳定企业；MAK 适合 5 台以下、无域环境的小团队 | |
对于案例中这家 200 台规模的制造企业，KMS 是明显更优的选择。一个 KMS 主机密钥就能覆盖所有客户端，配合组策略统一推送配置，IT 部门再也不用逐台电脑输密钥了。
KMS 部署架构：部署在哪台服务器上？
KMS 对服务器资源要求很低（CPU 和内存占用几乎可忽略），因此不需要独立服务器。常见的部署策略有三种：
| 部署位置 | 优点 | 缺点 |
|---|---|---|
| 域控制器 | 网络可达性好，客户端自动发现 | 额外角色增加 DC 负担，不建议生产环境 |
| WSUS 服务器 | 更新服务器常开，资源富余 | WSUS 重启维护时 KMS 不可用 |
| WDS 服务器 ✅ | 部署服务器常开，客户端部署时即可激活，资源独立 | 需确认不在同一时段大版本更新 |
我们推荐将 KMS 部署在 WDS 服务器 上。原因很直接：WDS 本身就是做系统部署的，新电脑通过 PXE 装完系统后，可以直接从同一台服务器的 KMS 完成激活，部署即激活，不需要二次操作。
- 服务器操作系统：Windows Server 2022 数据中心版
- 客户端操作系统：Windows 10 LTSC 2021
- Office 套件：Office LTSC 2021（本地部署）
- 批量激活工具：Windows Server 2022 自带"批量激活服务"角色
- 下载渠道：
- Windows Server 2022 数据中心版（评估版 180 天）：Microsoft Evaluation Center
- Windows 10 LTSC 2021 和 Office LTSC 2021：VLSC（批量许可服务中心）
- KMS 主机密钥：登录 VLSC 门户下载确认函（.txt 文件）
- 以上链接可直接复制到迅雷等下载工具中加速下载。
核心配置：3 个关键步骤就够了
KMS 的部署不需要十几个步骤，真正关键的配置只有 3 个：
1. 安装批量激活服务角色
在 WDS01 上打开「服务器管理器」→「管理」→「添加角色和功能」，勾选「批量激活服务」角色，安装完成后重启。该角色就是 KMS 的服务端，安装后会自动创建 KMS 主机服务。
2. 安装 KMS 主机密钥并激活
打开「服务器管理器」→「工具」→「批量激活工具」，这是一个专门管理 KMS 的 GUI 工具。在工具中选择「Manage KMS host」选项卡，点击「Install KMS host key」，输入从 VLSC（批量许可服务中心） 获取的 KMS 主机密钥。
注意：KMS 主机密钥和 MAK 密钥不一样，需要登录 VLSC 门户 下载。每个产品（Windows 10 LTSC 2021、Office LTSC 2021）有各自独立的 KMS 主机密钥，需要分别安装。
密钥安装后，点击「激活」完成在线激活。如果服务器没有 Internet 访问，可以通过电话激活。激活后，在「批量激活工具」中可以看到 KMS 主机状态显示为「Running」。
3. 配置组策略让客户端指向 KMS 服务器
在 DC01 上打开「组策略管理」，编辑「Default Domain Policy」，展开「计算机配置」→「策略」→「管理模板」→「Windows 组件」→「软件保护平台」：
- 指定 KMS 客户端激活设置：已启用，KMS 主机名称输入
WDS01.iehang.cn，端口1688 - 设置客户端激活间隔：已启用，间隔 60 分钟（默认 120 分钟，缩短可加快激活）
- 设置重新发现 KMS 主机的间隔：已启用，间隔 60 分钟
组策略配置完成后，客户端执行 gpupdate /force 后即可自动激活。无需逐台电脑设置任何密钥。
避坑指南：KMS 部署中最容易踩的 5 个坑
坑 1：KMS 主机密钥装错版本
现象：安装密钥时提示「此密钥不适用于此版本的 Windows」。
原因：Windows Server 2022 作为 KMS 主机，只能安装 Windows Server 2022 对应的 KMS 主机密钥，用它来激活 Windows 10 LTSC 2021 客户端。而 Windows 10 LTSC 2021 的 KMS 客户端密钥是安装在客户端本地的。很多初次接触的人会把客户端密钥和服务端密钥搞混。
解决：从 VLSC 下载时看清楚产品名称，Windows 10 LTSC 2021 的 KMS 主机密钥是给 Windows Server 用的，不是给 Windows 10 LTSC 2021 用的。
坑 2：防火墙忘记放行 TCP 1688
现象：客户端无法激活，提示「0x80070005 拒绝访问」或「找不到 KMS 主机」。
原因：KMS 使用 TCP 1688 端口，Windows 防火墙默认未开放。「批量激活工具」中的「Manage firewall」选项卡可以一键配置，但如果手动配置了防火墙规则，容易被组策略防火墙覆盖。
解决：在「批量激活工具」中配置防火墙规则后，在组策略中确认「Windows 防火墙：允许入站 KMS 例外」已启用。
坑 3：DNS SRV 记录未注册
现象：客户端可以 ping 通 WDS01，但激活提示「找不到 KMS 主机」。
原因：KMS 客户端通过 DNS 的 SRV 记录自动发现 KMS 主机。如果 KMS 主机的 DNS 注册失败，客户端无法自动发现。
解决：在「批量激活工具」中勾选「Publish KMS host in DNS」后，在 DNS 管理器中确认 _tcp.iehang.cn 区域下存在类型为 SRV、名称为 _vlmcs 的记录，指向 WDS01。如果没有，可以手动添加一条 SRV 记录。
坑 4：客户端计数达不到阈值
现象：KMS 主机已部署，但客户端无法激活。
原因：KMS 需要客户端计数达到阈值（Windows 10 LTSC 2021 为 5 台，Office LTSC 2021 为 25 台）后才能激活。如果是新部署，前几台客户端会提示「计数不足」。
解决：这不是故障，而是 KMS 的正常机制。部署时：确保至少有 5 台 Windows 10 LTSC 2021 客户端连接 KMS 主机。如果测试环境不够，可以在多台虚拟机上连接 KMS，达到阈值后所有客户端都会激活。
坑 5：180 天续期被忽略
现象：部署半年后，部分客户端突然变成未激活状态。
原因：KMS 激活有效期是 180 天，客户端需要每 180 天内至少连接一次 KMS 主机续期。如果客户端长期离线，到期后会自动变为未激活。
解决：客户端默认每 7 天尝试续期一次，只要内网连通就不会过期。对于长期离线的笔记本，建议改用 MAK 激活，或者配置 VPN 后定期回连公司网络。
部署效果：数据会说话
这家 200 台规模的制造企业在部署 KMS 前后的变化：
| 指标 | 部署前（MAK） | 部署后（KMS） |
|---|---|---|
| 每台电脑激活耗时 | 5~10 分钟（手动输密钥） | 0 分钟（自动激活） |
| 200 台电脑总耗时 | 约 2 周 | 组策略下发后 30 分钟内全部激活 |
| 密钥管理成本 | 需监控 MAK 额度，用完重新申请 | 一次性配置，无需后续管理 |
| 重装系统后激活 | 需再次输密钥，消耗额度 | 自动激活，无额外成本 |
| 激活状态可见性 | 不可见，依赖人工上报 | 可在 KMS 主机查看客户端计数 |
IT 负责人说了一句话很实在：「早知道 KMS 这么省事，早该换了。之前觉得 MAK 简单，结果越用越麻烦。」
维护建议：KMS 部署后还要做什么？
KMS 部署完不是终点，日常维护要做好 3 件事：
1. 定期检查 KMS 主机状态
每月登录「批量激活工具」查看一次 KMS 主机状态，确认「KMS host is Running」，密钥状态为「Activated」。如果发现密钥状态异常（比如过期），需要重新激活。
2. 监控客户端计数
「批量激活工具」中的「Current count」显示当前连接的客户端数量。如果这个数字持续下降，说明部分客户端可能离线或 DNS 解析异常，需要排查网络。
3. KMS 主机密钥备份
KMS 主机密钥安装后无法导出。如果 KMS 服务器故障，需要重新申请密钥或从 VLSC 重新下载。建议将 VLSC 的登录信息和密钥确认函（PDF）保存在安全位置。
常见问题
KMS 激活的 Windows 重装后需要再次激活吗？
需要重装系统，但不需要手动操作。只要客户端加入域，组策略会自动配置 KMS 地址，系统安装完成后会自动连接 KMS 主机激活，无需人工干预。
KMS 主机需要一直开机吗？
不是必须一直开机。客户端激活有效期 180 天，每次续期后重新计算。如果 KMS 主机停机超过 180 天，客户端到期后会变成未激活。建议 KMS 主机保持在线，或至少每 30 天开机一次。
笔记本离开公司网络后 KMS 激活会失效吗？
不会立即失效。KMS 激活的有效期是 180 天，笔记本离开公司后仍保持激活状态。如果 180 天内未连接公司网络（VPN 也算），到期后会变成未激活。对于长期出差人员，建议使用 MAK 激活。
Office LTSC 2021 也可以通过 KMS 激活吗？
可以。Office LTSC 2021 的批量版本支持 KMS 激活，但需要安装 Office LTSC 2021 的 KMS 主机密钥（与 Windows 的 KMS 主机密钥不同），且客户端计数要达到 25 台。在「批量激活工具」中安装 Office LTSC 2021 的 KMS 主机密钥后，Office 客户端会自动发现 KMS 主机。
总结
KMS 是微软为企业提供的最经济的批量激活方案。一个 KMS 主机密钥覆盖所有客户端，一次配置后自动管理，IT 部门可以将时间花在更有价值的事情上。
如果你的企业也面临以下情况：
- 50 台以上 Windows 设备需要激活
- IT 团队人手不足，需要自动化管理
- 正在规划新办公楼或工厂的 IT 设备部署
- 对现有 MAK 激活管理感到头疼
我们可以帮你评估现有环境，推荐最优的激活方案。不只是 KMS，还包括 MAK 混合部署、Azure 虚拟机激活等复杂场景的解决方案。