板块：术语表最后更新：2026-10-25内容依据：微软官方公开文档

KMS（Key Management Service，密钥管理服务）

企业内网自建的激活服务器，让批量授权客户端每 180 天自动续订许可，无需每台机器联网到微软。这是 kms 这个词在微软文档里的本义。

一句话定义KMS 是企业在自己内网搭建的激活服务：持有 CSVLK 主机密钥的 KMS 主机为批量授权客户端续订激活，客户端激活一次可离线使用 180 天，期间每 7 天自动续期。

完整机制表

机制	数值 / 名称	说明
激活有效期	180 天	客户端成功激活后获得的有效期；到期未续订则退回未激活状态
续订窗口	每 7 天	客户端每 7 天尝试联系主机一次，成功则 180 天有效期回满
客户端阈值	25 台	主机至少看到 25 台不同的客户端操作系统（物理机与虚拟机都计入计数）才开始激活
服务器阈值	5 台	Windows Server 客户端操作系统的阈值，同样是物理机 + 虚拟机合计
服务端口	TCP 1688	KMS 主机监听端口，防火墙需放行入站；主机侧可用 `slmgr /sprt` 修改
发现记录	SRV 记录 `_vlmcs._tcp`	客户端通过 DNS 的这条 SRV 记录自动发现主机；记录缺失报 `0x8007232B` / `0xC004F074`
未激活时重试	每 2 小时	尚未激活的客户端每 2 小时尝试一次发现与激活

主机与客户端的角色分工

项	KMS 主机	KMS 客户端
密钥	CSVLK（主机密钥，VLSC / M365 管理中心获取）	GVLK（微软公开，批量授权版本通常已内置）
系统	Windows Server 装「批量激活服务」角色；Win10/11 可临时充当，微软不建议用于生产	批量授权版本的 Windows / Windows Server
职责	维护激活计数、响应激活请求、DNS 发布 SRV 记录	发现主机、发送激活请求、到期前自动续订
验证方式	`slmgr /dlv` 看 Current Count	`slmgr /xpr` 看到期日、`slmgr /dlv` 看通道

一次激活的交互过程

发现：客户端查询 DNS 的 _vlmcs._tcp SRV 记录（或读取 slmgr /skms 指定的地址），得到主机名与端口 1688
请求：客户端向主机发送激活请求，携带版本、通道、硬件信息
计数：主机累计看到的唯一客户端数量；未达阈值（客户端 25 / 服务器 5）时拒绝激活，报 0xC004F038
发放：达标后主机为客户端发放许可，客户端获得 180 天有效期
续订：此后每 7 天客户端主动续订一次，成功则有效期回满；连续失败超 180 天退回未激活

客户端发现 KMS 主机的两种方式

方式	做法	适用与注意
DNS SRV 自动默认	主机装好「批量激活服务」角色后自动（或经 `slmgr /sdns`）在 DNS 发布 `_vlmcs._tcp.<域名>`，指向自身 1688 端口	批量授权版本客户端的默认行为，零配置。DNS 动态更新不畅、跨网段解析不到时失败
slmgr /skms 手动	管理员执行 `slmgr /skms kms.corp.example.com:1688` 显式指定主机	DNS 不通、跨子网、或需要指定非默认端口时使用；恢复自动发现用 `slmgr /ckms`

客户端手动指定主机（管理员）

rem 指定内网 KMS 主机（仅填你自己企业的主机地址）
slmgr /skms kms.corp.example.com:1688

rem 立即尝试激活
slmgr /ato

rem 验证：显示到期日期即 KMS 激活正常
slmgr /xpr

阈值计数规则

阈值按不同机器累计：同一台机器重复连接不叠加计数
物理机与虚拟机都计入：在宿主机上批量开的虚拟机同样参与计数
客户端操作系统（Windows 10/11）阈值 25 台；服务器操作系统（Windows Server）阈值 5 台
主机自身必须先完成激活（用 CSVLK），否则计数不增长

CSVLK 与 GVLK 的关系

两者都是 25 位密钥，但角色完全相反——一个给主机，一个给客户端：

项	CSVLK（KMS 主机密钥）	GVLK（KMS 客户端安装密钥）
装在谁身上	KMS 主机（Windows Server 的批量激活服务角色）	每一台 KMS 客户端（批量授权版本通常已内置）
从哪里获取	仅签订批量授权协议的组织，在 VLSC / M365 管理中心获取	微软公开发布在 Microsoft Learn，任何人均可查阅
作用	让主机自身先完成激活，取得为客户端发放许可的资格	把系统切换到 KMS 客户端通道，等待主机激活
能单独激活吗	主机自身联网或电话激活一次	不能。没有合法主机，输入多少遍都不激活
硬门槛	没有批量授权协议就拿不到合法 CSVLK，也就没有合法 KMS 主机	无门槛，但也正因如此常被第三方工具冒用

速查：GVLK 官方对照表（微软 Learn 公开，按版本检索）｜ GVLK 术语。

KMS 不是什么

立场声明 KMS 不是破解工具，也不是第三方激活器。它是微软为持有批量授权协议的企业设计的正规激活基础设施，前提是组织已购买许可、合法持有 CSVLK。

网上流传的「KMS 激活工具」「公网 KMS 地址」与本站讲的 KMS 完全不是一回事：它们多数是把设备指向一台未经授权的第三方主机，实质是盗版，且常被用于投递恶意流量、常驻计划任务、篡改系统。微软明确不认可此类用法，企业环境使用会在合规审计中被判定为未授权。本站不提供、不推荐、不链接任何第三方 KMS 服务器地址或激活工具。

说法	事实
「KMS 是免费的激活方式」	不免费。它服务的是已采购批量授权的组织，成本在许可协议里，不在激活环节
「KMS 激活等于永久激活」	不是。180 天周期、每 7 天续订，长期离线会退回未激活
「KMS 激活后重装还得再配」	同版本重装后回到内网即可自动再激活；换到无主机的网络则不行
「个人用户也能搭 KMS 自用」	没有批量授权协议就没有合法 CSVLK，任何「自用主机」的本质都是绕过授权，属违规

部署前置条件清单

批量授权协议：Open / Open Value / Select / Enterprise / 服务提供商许可协议之一，这是 CSVLK 的来源
一台 Windows Server：安装「批量激活服务」角色（会连带 IIS 依赖）
CSVLK 主机密钥：从 VLSC / M365 管理中心获取，装到主机上
DNS 管理权：主机需能在 DNS 发布 _vlmcs._tcp SRV 记录，或客户端改用 /skms 手动指定
网络策略：防火墙放行 TCP 1688 入站，客户端到主机路由可达

分步操作见 KMS 主机部署指南。

主机侧常用命令

KMS 主机（管理员）

rem 安装主机密钥（CSVLK，从 VLSC 获取）
slmgr /ipk <CSVLK>

rem 激活主机自身
slmgr /ato

rem 查看主机状态与激活计数
slmgr /dlv

rem 启用 / 禁用 DNS 自动发布 SRV 记录
slmgr /sdns
slmgr /cdns

rem 修改监听端口（默认 1688）
slmgr /sprt 1688

KMS 与 ADBA 的关系

已有 AD 域的组织可以改用基于 AD 的激活（ADBA）：激活对象存放在 AD 数据库中，域内机器加域即激活，省掉 KMS 主机与 25/5 阈值。两者是批量授权的不同通道，可按网络结构选择或并存，详见 ADBA 专题。

排障表

现象	排查方向
客户端找不到主机（`0x8007232B` / `0xC004F074`）	`nslookup -type=srv _vlmcs._tcp` 验证解析；检查 DNS 发布与防火墙 TCP 1688
报 `0xC004F038`	激活计数未达阈值（客户端 25 / 服务器 5），或主机自身未激活
报 `0xC004F00F`	GVLK 与安装版本不匹配，换对应版本条目
主机计数一直不涨	事件查看器 → 应用和服务日志 → Microsoft → Windows → SoftwareProtectionPlatform 看请求日志
激活报 `0x80072F8F`	九成是系统时间不对，先同步 internet 时间

规划新主机请注意微软正在为 KMS 引入基于硬件信任的机制（要求主机通过 TPM 芯片进行身份验证），自 2026 年 8 月起 Windows Server 2025 先行引入检测，后续长期服务通道版本将强制。具体时间表以微软官方页面为准，规划新主机建议预留 TPM 2.0。

混合环境：KMS + MAK 并存

常见的中型企业拓扑：内网固定机器走 KMS 自动续订，出差笔记本、外点、VDI 用 MAK。两者共用同一份批量授权台账，按网络位置选择通道，互不冲突。VAMT 可以在一个控制台里同时监视两类客户端的状态与 MAK 余量。

KMS 与虚拟化（AVMA）

在 Windows Server Datacenter 宿主机上，可以用 AVMA（自动虚拟机激活）激活其上的 Windows Server 客户机，无需 KMS 主机与阈值。AVMA 只覆盖 Server-on-Server 场景，Windows 10/11 客户机虚拟机仍走常规 KMS / MAK 通道。详见虚拟机激活。

客户端激活状态详解

License Status	含义
`Licensed`	已由主机激活，180 天倒计时进行中
`Initial grace`	宽限期：通道已切但尚未成功激活（或重装后第一次联系主机前）
`Notification`	未授权通知模式：长期联系不到主机，桌面出现水印
`Unlicensed`	宽限期耗尽仍未激活，功能受限（个性化等）

KMS 客户端支持范围

客户端操作系统：批量授权版本的 Windows 10 / 11（家庭版不在批量通道内）
服务器操作系统：Windows Server 各版本，阈值 5 台
Office：批量授权版 Office / Visio / Project，客户端脚本为 ospp.vbs
不支持：零售版 Windows 输 GVLK 可以切通道，但这不改变其授权性质；家庭版无批量通道

主机规划建议

规模	建议
25-100 台客户端	单台 Server 主机足够；关注 DNS SRV 发布稳定性
100 台以上 / 多网段	按站点部署多台主机，或确保跨网段 SRV 解析与 1688 路由
已有 AD 域	评估 ADBA 替代 KMS，省掉主机与阈值
新采购服务器	预留 TPM 2.0，关注微软对 KMS 主机硬件信任要求的演进（以官方页面为准）

一句话回顾合法 KMS = 批量授权协议 + CSVLK 主机 + GVLK 客户端 + 25/5 阈值 + 1688 端口 + SRV 记录 + 180 天续订。缺任何一项，就不是本站讲的 KMS。

日志与审计

主机侧：事件查看器 → 应用和服务日志 → Microsoft → Windows → SoftwareProtectionPlatform，记录每次激活请求与计数变化
客户端侧：同一路径下可查本机的激活与续订历史，用于判断「为何这台没激活」
集中报表：VAMT 导出激活状态、通道分布、MAK 余量，作为合规审计材料

排障入口

KMS 激活 180 天专题：续订机制、失效原因（DNS、防火墙、阈值不足）与手动 /ato
KMS 主机部署指南：从装角色、录 CSVLK 到放行 1688 的完整步骤
激活故障排查手册：报错码的系统化定位

常见问题

FAQ

KMS 激活为什么只有 180 天？

这是设计行为。KMS 客户端激活后获得 180 天有效期，期间每 7 天尝试联系一次 KMS 主机续订，续订成功有效期回满。机器离开内网超过 180 天会退回未激活，回到内网后自动恢复。slmgr /xpr 显示的是到期日期，而不是「永久激活」。

不到 25 台电脑能自建 KMS 吗？

技术上可以，但主机不会激活任何客户端：客户端操作系统有 25 台激活阈值（服务器系统为 5 台），不足阈值时客户端持续报 0xC004F038。25 台以下规模建议直接用 MAK，每台联网激活一次、永久有效。

网上找的公网 KMS 地址能用吗？

不能，也不合规。第三方「KMS 激活工具」实质是盗版，常与恶意流量投递捆绑（流量劫持、木马分发），激活随时可被服务方中断；企业使用还会在合规审计中被判定为未授权。本站不提供任何第三方 KMS 服务器地址。

GVLK 和 CSVLK 到底怎么分？

GVLK 是 KMS 客户端安装密钥，微软公开发布在 Microsoft Learn，只把系统切到 KMS 客户端通道，无激活能力；CSVLK 是 KMS 主机密钥，只发放给签订批量授权协议的组织，在 VLSC 或 M365 管理中心获取。看到 G 想客户端，看到 C 想主机。

客户端是怎么找到 KMS 主机的？

两种方式：① 自动——客户端通过 DNS 的 SRV 记录 _vlmcs._tcp 发现内网主机，批量授权版本默认如此；② 手动——管理员执行 slmgr /skms 指定主机地址与端口。找不到主机报 0x8007232B 或 0xC004F074。

内容依据（官方来源）

Microsoft Learn · 使用 KMS 激活 · KMS 激活
Microsoft Learn · KMS 激活密钥 · KMS 客户端激活密钥
Microsoft Learn · KMS 故障排除 · KMS 排障