Vous préparez un Windows Server 2022 pour héberger des sessions RDP de travail ? Voici un guide concret, à jour et actionnable pour déterminer exactement quelles licences acheter, comment les déployer et comment éviter les pièges les plus courants.
Problématique
Configurer un Windows Server 2022 pour :
- cinq utilisateurs réguliers,
- accès aux services classiques du serveur (fichiers, impression, AD, etc.),
- sessions Bureau à distance (RDP) de travail, pas seulement d’administration.
Question : Quelles Client Access Licenses (CAL) faut‑il acheter ? Peut‑on laisser plusieurs personnes se connecter en RDP sans licence ?
Réponse courte et opérationnelle
Pour cinq utilisateurs RDP de travail, prévoyez 5 Windows Server CAL + 5 RDS CAL. Choisissez le type User ou Device selon votre usage (mobilité vs poste partagé). Les deux connexions RDP d’administration intégrées ne conviennent pas à un usage utilisateur.
Tableau de synthèse
| Besoin | Type de CAL | Quantité pour 5 utilisateurs | Commentaire |
|---|---|---|---|
| Accéder aux fonctions « serveur » (partages, AD, etc.) | Windows Server CAL (User ou Device) | 5 | Nécessaire pour toute connexion authentifiée aux services du serveur. |
| Ouvrir des sessions Bureau à distance de travail | RDS CAL (User ou Device) | 5 | S’ajoute à la CAL Windows Server pour le même utilisateur/appareil. |
User CAL : un même utilisateur authentifié depuis plusieurs appareils.
Device CAL : un appareil partagé par plusieurs personnes (atelier, kiosque).
Les éditions Standard vs Datacenter n’influencent pas la quantité de CAL ; elles impactent surtout la virtualisation et les droits d’instances.
À propos des deux sessions RDP « gratuites »
- Par défaut, Windows Server accepte 2 connexions simultanées destinées exclusivement à l’administration à distance.
- Pour les activer : Gestionnaire de serveur > Serveur local > Bureau à distance, puis cochez « Autoriser les connexions… ».
- Aucun rôle RDS ni RDS CAL n’est requis pour ces sessions d’administration. Elles sont réservées aux administrateurs et ne doivent pas servir à des usages métier (comptabilité, support, etc.).
- Spécificité de licence souvent ignorée : ces deux accès destinés à l’administration du serveur ne requièrent pas non plus de Windows Server CAL. En revanche, dès qu’on dépasse ce cadre ou qu’on héberge des sessions utilisateur, le couple Windows Server CAL + RDS CAL redevient obligatoire.
Quand faut‑il installer Remote Desktop Services ?
Pour des sessions utilisateurs multiples (au‑delà des 2 sessions d’administration), il faut déployer le rôle Remote Desktop Services (RDS) avec au minimum :
- RD Session Host (hôte de sessions) : reçoit les connexions RDP.
- RD Licensing (serveur de licences) : distribue/valide les RDS CAL.
Optionnel mais recommandé selon l’architecture : RD Gateway (accès sécurisé depuis Internet), RD Web Access (portail), RD Connection Broker (répartition/haute dispo et collections).
Période de grâce
Après installation du rôle RD Session Host, vous disposez d’une période de grâce de 120 jours pour tester sans RDS CAL activées. Passé ce délai, les connexions utilisateur sont refusées si la licence n’est pas correctement configurée.
Choisir entre User CAL et Device CAL
| Critère | User CAL | Device CAL |
|---|---|---|
| Mobilité (télétravail, BYOD, multi‑postes) | Excellent : 1 CAL couvre l’utilisateur où qu’il se connecte | Moyen : 1 CAL par appareil, coûteux si l’utilisateur en a plusieurs |
| Postes partagés (atelier, comptoir, kiosque) | Moyen | Excellent : 1 CAL par poste pour N utilisateurs |
| Suivi/contrôle des droits | Conformité gérée contractuellement (le serveur de licences suit mais n’« impose » pas techniquement) | Jetons de licences émis par appareil et suivis techniquement |
| Évolutivité | Souple si la base d’utilisateurs fluctue | Souvent optimal si l’inventaire de postes est stable |
Cas concrets
- PME mobile (5 collaborateurs avec PC portable + domicile) : 5 Windows Server User CAL + 5 RDS User CAL.
- Atelier (5 postes partagés par 12 opérateurs) : 5 Windows Server Device CAL + 5 RDS Device CAL.
- Mix possible : Windows Server Device CAL + RDS User CAL si cela minimise le coût total.
Règles de version
- Les RDS CAL 2022 autorisent la connexion à Server 2022 (et, en règle générale, aux versions antérieures du rôle RD Session Host).
- L’inverse n’est pas garanti : des RDS CAL plus anciennes ne couvrent pas une version plus récente du serveur.
- Idem pour les Windows Server CAL : la version de la CAL doit être égale ou supérieure à la version du serveur accédé, sauf droits d’upgrade via Software Assurance.
Étapes pas‑à‑pas : déployer un hôte RDP multi‑utilisateur
Installation par l’interface
- Ouvrez Gestionnaire de serveur > Ajouter des rôles et fonctionnalités.
- Choisissez Services Bureau à distance, puis installez :
Hôte de session Bureau à distance et Serveur de licences Bureau à distance. Ajoutez Accès Web et Broker si nécessaire. - Redémarrez si demandé.
- Dans Gestionnaire de serveur > Services Bureau à distance, lancez l’Assistant de déploiement, spécifiez le/les serveur(s) de licences et la mode de licences (Par utilisateur ou Par appareil).
- Activez le serveur de licences avec Gestionnaire de licences Bureau à distance (
licmgr.exe) et installez vos RDS CAL.
Installation par PowerShell
# Exécuter en PowerShell en tant qu’administrateur
Install-WindowsFeature RDS-RD-Server -IncludeManagementTools
Install-WindowsFeature RDS-Licensing -IncludeManagementTools
# Facultatif selon l’architecture
Install-WindowsFeature RDS-Web-Access
Install-WindowsFeature RDS-Connection-Broker
Ensuite, définissez le mode de licences et le serveur de licences via GPO (recommandé) :
- Configuration ordinateur > Modèles d’administration > Composants Windows > Services Bureau à distance > Hôte de session Bureau à distance > Licences :
- Définir le mode de licences des Services Bureau à distance : Par utilisateur ou Par appareil.
- Utiliser les serveurs de licences des Services Bureau à distance spécifiés : indiquez le(s) FQDN du serveur de licences.
Contrôles de conformité et diagnostic
- Vérifier l’attribution des licences : Gestionnaire de licences Bureau à distance permet de consulter les CAL installées, les jetons délivrés (mode Device) et l’état du serveur de licences.
- Diagnostiquer : utilisez l’outil Diagnostic des licences des Services Bureau à distance pour repérer les erreurs classiques (« aucun serveur de licences configuré », « période de grâce expirée », etc.).
- Suivi des RDS User CAL : la conformité est principalement contractuelle. Maintenez un registre nominatif (RH/IT) des utilisateurs couverts.
- Audit Windows Server CAL : tenez à jour la liste des utilisateurs ou des appareils autorisés à accéder au domaine et aux partages.
Garder le serveur sain, sécurisé et performant
Bonnes pratiques de sécurité
- N’exposez jamais directement le port 3389 sur Internet. Préférez RD Gateway (TLS) et, si possible, de l’MFA.
- Activez NLA (authentification au niveau réseau) et exigez des mots de passe complexes ou l’authentification multifacteur.
- Limitez le droit « Autoriser l’ouverture de session par Services Bureau à distance » aux seuls groupes nécessaires.
- Restreignez les redirections (disques, presse‑papiers, imprimantes) selon la politique de sécurité.
- Mettez à jour le système et appliquez régulièrement les correctifs de sécurité.
Expérience utilisateur et capacité
- Activez « Limiter les utilisateurs des Services Bureau à distance à une seule session » pour éviter les sessions multiples involontaires.
- Configurez des limites d’inactivité et de déconnexion (GPO) pour libérer les ressources.
- Dimensionnez CPU/RAM/IO en fonction des applications (bureautique, ERP, DAO, etc.). Testez en conditions réelles pendant la période de grâce.
- Centralisez les profils et données utilisateurs (profils itinérants ou conteneurs de profil) pour accélérer les ouvertures de session.
FAQ licences RDP sur Windows Server 2022
Peut‑on laisser plusieurs personnes se connecter en RDP sans licence ?
Non. Seules deux sessions d’administration sont prévues sans RDS CAL et sans installation de RDS. Pour des usages utilisateurs, il faut installer RDS et détenir des RDS CAL en plus des Windows Server CAL. Après 120 jours de grâce, l’hôte refusera les connexions si la licence n’est pas configurée. Faut‑il les deux : Windows Server CAL et RDS CAL ?
Oui, pour une session RDP de travail, il faut une Windows Server CAL (accès aux services du serveur) et une RDS CAL (droit d’ouvrir une session Bureau à distance). Les deux s’additionnent pour le même utilisateur/appareil. Puis‑je mélanger User CAL et Device CAL ?
Oui. Vous pouvez, par exemple, utiliser des Windows Server Device CAL pour des postes partagés et des RDS User CAL pour des employés mobiles. Choisissez ce qui minimise le coût global sans sacrifier la conformité. Des RDS CAL 2019 suffisent‑elles pour un hôte 2022 ?
En règle générale, non. Les RDS CAL doivent correspondre à la version du serveur cible (ou être couvertes par un droit d’upgrade via Software Assurance). Prévoyez des RDS CAL 2022 pour Server 2022. Quid des comptes invités, stagiaires, prestataires ?
Chacun qui accède au serveur a besoin d’être couvert par les CAL appropriées (User ou Device). L’usage ponctuel ne dispense pas de licence. RDP vers Windows 10/11 Pro nécessite‑t‑il des RDS CAL ?
Non, les RDS CAL concernent l’accès aux Services Bureau à distance d’un Windows Server. Windows 10/11 n’autorise de toute façon qu’une seule session interactive à la fois.
Méthode de calcul : combien de CAL acheter ?
Raisonnez séparément pour Windows Server CAL et RDS CAL, et pour User vs Device.
| Étape | Question | Décision |
|---|---|---|
| 1 | Combien d’utilisateurs uniques utiliseront des services du serveur (fichiers, AD, impression, RDP) ? | C’est votre besoin en Windows Server User CAL. |
| 2 | Combien d’appareils uniques accéderont au serveur, indépendamment des personnes ? | C’est votre besoin en Windows Server Device CAL. |
| 3 | Parmi ces mêmes utilisateurs/appareils, qui ouvrira une session RDP de travail ? | Ajoutez la même quantité correspondante en RDS CAL (User ou Device). |
| 4 | Existe‑t‑il des postes partagés (atelier) ou des collaborateurs très mobiles (BYOD) ? | Choisissez Device pour postes partagés ; User pour profils mobiles. |
Exemple 5 utilisateurs mobiles : 5 Windows Server User CAL + 5 RDS User CAL.
Exemple 3 postes partagés (10 personnes) : 3 Windows Server Device CAL + 3 RDS Device CAL.
Bonnes pratiques d’achat et de gestion
- Canaux : Volume Licensing, CSP ou OEM. Vérifiez bien la version des RDS CAL (2022) et vos éventuels droits d’upgrade (Software Assurance).
- Mix User/Device : autorisé entre Windows Server CAL et RDS CAL. Optimisez selon vos cas d’usage.
- Documentation interne : tenez un registre des utilisateurs couverts (User) et des postes couverts (Device). Utile pour audits et renouvellements.
- Évolutivité : si l’effectif varie, gardez une marge de CAL disponibles et révisez votre mix chaque trimestre.
Checklist de déploiement rapide
- Décider du type de CAL (User/Device) pour Windows Server et RDS.
- Acheter 5 Windows Server CAL + 5 RDS CAL pour le scénario décrit.
- Installer les rôles RD Session Host et RD Licensing.
- Activer le serveur de licences et importer les RDS CAL.
- Définir via GPO le mode de licences et le(s) serveur(s) de licences.
- Créer une collection (applications publiées ou bureau complet) et attribuer les groupes utilisateurs.
- Appliquer les GPO de sécurité (NLA, redirections, limites de session).
- Tester pendant la période de grâce de 120 jours et valider la capacité.
- Basculer en production, surveiller les alertes de licence et les journaux.
Erreurs fréquentes à éviter
- Confondre les 2 sessions d’administration avec un droit d’usage utilisateur : ce n’est pas le cas.
- Oublier les Windows Server CAL en plus des RDS CAL.
- Installer RDS sans configurer le serveur de licences : tout marche en test, puis chute après 120 jours.
- Choisir le mauvais mode (Per Device vs Per User) : conformité fragile et coûts suboptimaux.
- Exposer 3389 sur Internet au lieu d’un RD Gateway sécurisé.
Résumé
Sur Windows Server 2022, héberger des sessions RDP de travail exige des licences Windows Server CAL et RDS CAL. Pour 5 utilisateurs réguliers, comptez 5 CAL de chaque (User ou Device selon votre contexte). Les deux sessions RDP intégrées ne servent qu’à l’administration. Pour un déploiement pérenne, installez RDS, activez le serveur de licences, configurez le mode de licences via GPO et appliquez des bonnes pratiques de sécurité. C’est la voie la plus simple pour rester conforme, stable et performant.
Annexe : rappel des points clés
- Les CAL Windows Server et RDS sont cumulatives pour la session RDP de travail.
- Les 2 sessions RDP « admin » ne nécessitent pas de CAL RDS (ni Windows Server CAL) tant qu’elles servent uniquement à administrer le serveur.
- La version de la CAL doit couvrir la version du serveur (2022 conseillée pour Server 2022).
- La période de grâce RDS est de 120 jours.
- Le choix User vs Device dépend de vos usages (mobilité vs postes partagés).