1. CAL là gì - và vì sao bắt buộc

Client Access License (CAL) là phần license bắt buộc song song với Windows Server license. Mua server thôi chưa đủ - mỗi user hoặc device "truy cập" vào server đều cần CAL hợp lệ. Đây là mô hình license của Microsoft từ thời Windows NT 4.0 và vẫn còn nguyên đến 2025.

Phần lớn doanh nghiệp Việt Nam khi mua Windows Server chỉ tập trung vào giá OS mà quên CAL. Khi audit license (Microsoft thường audit qua đối tác BSA), CAL thiếu là vi phạm và có thể bị phạt nhiều lần giá license thiếu. CAL là "thuế ẩn" của Windows Server - bắt buộc phải tính ngay từ đầu.

"Truy cập" tính như thế nào?

• Login vào file share → cần CAL.
• In qua print server → cần CAL.
• Truy cập web app chạy IIS trên server → cần CAL.
• Authenticate qua Active Directory → cần CAL.
• Dùng DHCP/DNS service nội bộ → cần CAL.

Ngoại lệ: anonymous Internet access vào website public (cần External Connector thay thế), hoặc thiết bị IoT non-OS-bearing (vài ngoại lệ hẹp).

2. User CAL - cấp cho người

User CAL gắn với một tài khoản AD user cụ thể. Khi user đó login từ bất kỳ device nào (PC văn phòng, laptop ở nhà, tablet, smartphone), cùng 1 CAL có giá trị. Đây là mô hình hiện đại, phù hợp xu hướng BYOD và remote work.

Ưu điểm User CAL

• Một CAL cover nhiều device cho cùng 1 người - sales dùng laptop + iPhone + desktop văn phòng vẫn chỉ cần 1 CAL.
• Theo dõi đơn giản qua AD user object.
• Khi user rời công ty, CAL được reassign ngay cho người mới (theo quy định Microsoft, mỗi reassignment cách nhau ≥90 ngày trừ khi do nhân viên rời/đổi role).
• Phù hợp 90% doanh nghiệp tri thức (office work, sales, manager).

Nhược điểm

• Đắt nếu nhiều user chia ca dùng chung 1 máy (shift work).
• Phải có User Object trong AD cho mỗi người - không hoạt động với "guest user" tạm thời.

3. Device CAL - cấp cho máy

Device CAL gắn với 1 máy vật lý cụ thể. Bất kỳ user nào sử dụng máy đó để truy cập server đều hợp lệ. Phù hợp khi nhiều người dùng chung 1 máy (call center 24/7, kiosk, factory floor).

Ưu điểm Device CAL

• Một CAL cover nhiều người dùng cùng 1 máy.
• Lý tưởng cho 24/7 shift work (call center 3 ca × 100 agent dùng chung 100 máy = 100 Device CAL thay vì 300 User CAL).
• Quản lý tài sản đơn giản (1 máy = 1 license).

Nhược điểm

• Đắt nếu 1 user dùng nhiều máy (laptop + desktop + mobile).
• Mobile device khó track - smartphone thay đổi, làm mất, reset rồi gán lại nhiều khi không rõ status.
• Không phù hợp BYOD.

4. Công thức break-even - User hay Device?

Công thức nhẩm: nếu số user > số device, chọn Device CAL. Nếu số device > số user, chọn User CAL. Trong thực tế, hầu hết office work thuộc nhóm thứ hai (1 user = 1 PC + 1 laptop + 1 smartphone = 3 device).

Ví dụ minh hoạ

5. Trộn lẫn User + Device CAL - được không?

Câu trả lời: Có. Microsoft cho phép trộn cả hai loại trong cùng môi trường, miễn là tổng cộng cover được toàn bộ access. Ví dụ thực tế:

Công ty 200 nhân viên: 50 nhân viên office full-time (cấp User CAL), 80 sales mobile (cấp User CAL), 70 công nhân kho chia 2 ca dùng 35 máy quét (cấp Device CAL). Tổng: 130 User CAL + 35 Device CAL = 97.5 + 26.25 = ~124 triệu. Nếu cấp toàn User: 200 × 750k = 150 triệu. Tiết kiệm 26 triệu.

6. CAL version compatibility - phải match hoặc cao hơn

CAL phải cùng version hoặc cao hơn version Server. Nguyên tắc cứng: CAL 2019 KHÔNG cover access vào Windows Server 2022. CAL 2022 cover được cả 2019 và 2022. CAL 2025 cover tất cả version trước đó.

Khuyến nghị: mua CAL 2025 ngay cả khi server hiện tại là 2022 - chuẩn bị sẵn cho nâng cấp tương lai. Giá CAL 2025 và 2022 tại TND tương đương ~750k/CAL.

7. CAL và Hyper-V - quy tắc 1 lớp

Truy cập VM Windows Server bên trong Hyper-V vẫn cần CAL. Quy tắc: CAL cover toàn bộ instance trên cùng host, bất kể bao nhiêu VM. Nếu user A truy cập 3 VM khác nhau trên cùng 1 server vật lý, chỉ cần 1 User CAL.

Nhưng nếu user A truy cập VM trên 2 server vật lý khác nhau, CAL vẫn chỉ 1 (vì User CAL gắn với user, không phải server). Nếu là Device CAL, phải đảm bảo device đó được cấp CAL - và CAL đó cover access đến cả 2 server miễn là cùng tổ chức.

8. RDS CAL - phụ thu nếu dùng Terminal Server

Lưu ý quan trọng: User/Device CAL không bao gồm quyền sử dụng Remote Desktop Services (Terminal Server). Nếu user remote vào server qua RDP để chạy ứng dụng (Terminal Server mode), bạn cần thêm RDS CAL ~3.2 triệu/CAL trên TOP của Windows Server CAL.

Ngoại lệ: RDP cho mục đích administration (max 2 admin connection) không cần RDS CAL. Đọc chi tiết tại RDS CAL cho Terminal Server.

9. External Connector - khi external user nhiều

Nếu server phục vụ khách hàng/đối tác bên ngoài tổ chức (không phải nhân viên), bạn không thể cấp CAL cho từng external user. Microsoft cung cấp External Connector (EC) giá ~95 triệu, cho phép unlimited external user truy cập 1 server vật lý.

Break-even: từ ~127 external user trở lên (95tr / 750k = 126.7), EC rẻ hơn mua CAL. Đọc External Connector cho web app public.

10. Audit CAL compliance - script kiểm tra

Microsoft không tự động enforce số CAL. Trên Standard/Datacenter, không có "license server" để đếm CAL như RDS. Nghĩa là bạn có thể chạy 1000 user trên server chỉ có 10 CAL - nhưng đó là vi phạm và có thể bị phạt khi audit.

PowerShell đếm user và device đã truy cập

# Đếm user đã login domain trong 90 ngày qua
Import-Module ActiveDirectory
$cutoff = (Get-Date).AddDays(-90)
Get-ADUser -Filter {LastLogonDate -gt $cutoff -and Enabled -eq $true} |
  Measure-Object | Select-Object Count

# Đếm computer đã active trong 90 ngày qua
Get-ADComputer -Filter {LastLogonDate -gt $cutoff -and Enabled -eq $true} |
  Measure-Object | Select-Object Count

# Liệt kê file share connection hiện tại
Get-SmbSession | Group-Object ClientUserName |
  Select-Object Name, Count | Sort-Object Count -Descending

Xem session RDS (nếu có)

# Liệt kê session RDS đang active
qwinsta /server:RDS-SERVER

# Hoặc PowerShell
Get-RDUserSession -ConnectionBroker rds-broker.company.local

11. Tips tiết kiệm CAL

• Tắt account không dùng: AD user disable không tính CAL. Hàng quý audit và disable cựu nhân viên.
• Service account riêng: gOMSA hay computer-based service account thường không cần CAL (nếu chỉ chạy service nội bộ).
• External user qua web app public: cân nhắc EC thay vì cấp CAL từng người.
• Volume Licensing: nếu mua >250 CAL, hỏi TND về Open Value / Open License để có chiết khấu volume.
• Chọn đúng User vs Device: tính break-even ngay từ đầu, đừng để 3 năm sau mới phát hiện đã chọn sai.

12. Mua CAL genuine tại TND

TND cung cấp Windows Server CAL 2022/2025 cả User và Device, RDS CAL, External Connector - đại lý chính thức Microsoft với hoá đơn VAT điện tử TT 78 đầy đủ cho doanh nghiệp. Tham khảo CAL tại shop TND hoặc liên hệ kỹ thuật để tư vấn mô hình User/Device phù hợp.

Đọc thêm: Standard vs Datacenter, RDS CAL, External Connector.