板块：Windows 激活最后更新：2026-10-25内容依据：微软官方公开文档
企业批量激活：MAK / KMS / 基于 AD 的激活
面向已持有微软批量授权协议的组织。这是 kms 这个词的本义，也是它唯一合法的用法。
前置条件，不满足请止步
搭建 KMS 主机需要 CSVLK（KMS 主机密钥），它只发放给签了批量许可协议的组织（Open、Open Value、Select、Enterprise、服务提供商许可协议），
在 Microsoft 365 管理中心或 VLSC 批量许可服务中心获取。
没有协议就没有合法主机密钥；使用他人主机或伪造主机既违反许可协议，也是微软明确不认可的。
三条批量路径怎么选
| 方式 | 机制 | 适合 | 优缺点 |
|---|---|---|---|
| MAK 多次激活密钥 | 每台机器直接联微软激活一次，消耗一次配额 | <25 台、离线机、外派机器、VDI 临时实例 | 永久有效、无需内网设施；但每台要消耗次数，次数可在 VLSC 追加 |
| KMS 密钥管理服务 | 内网建 KMS 主机，客户端周期性找它续订 | ≥25 客户端 或 ≥5 服务器的内网 | 一次部署全自动；依赖内网，离线超 180 天失效 |
| ADBA 基于 AD 的激活 | 激活对象存在 AD 里，域内机通过 DC 激活 | 已有 AD 域、机器长期在域内 | 客户端零配置；需要 DC 支持，离线同样受限 |
KMS 的工作模型
| 项 | KMS 主机 | KMS 客户端 |
|---|---|---|
| 密钥 | CSVLK（主机密钥，从 VLSC / M365 管理中心获取） | GVLK（微软公开的客户端安装密钥，通常已内置） |
| 通信 | 监听 TCP 1688（可改） | 通过 DNS SRV _vlmcs._tcp 自动发现主机 |
| 阈值 | 客户端 <25（服务器 <5）时拒绝激活 | 每 2 小时尝试一次（未激活状态） |
| 续订 | 维护激活计数 | 激活后每 7 天续订，有效期 180 天 |
| 系统 | Windows Server（装批量激活服务角色）；Win10/11 也可临时充当 | 批量授权版本的 Windows / Server |
部署 KMS 主机（Windows Server）
- 服务器管理器 → 添加角色和功能 → 勾选「批量激活服务」（Volume Activation Services），同时会装上 Web/IIS 依赖
- 打开 批量激活工具（VAMT / VMAT），选择 KMS 激活方式，输入从 VLSC 拿到的 CSVLK
- 联网或电话完成主机自身激活
- 在 DNS 中确认自动发布了 SRV 记录：
_vlmcs._tcp.<域名>→ 指向本机的 1688 端口 - 防火墙放行 TCP 1688 入站
主机侧常用命令（管理员）
rem 安装主机密钥（CSVLK，从 VLSC 获取）
slmgr /ipk <CSVLK>
rem 联机激活主机
slmgr /ato
rem 查看主机状态
slmgr /dlv
rem 修改监听端口（默认 1688）
slmgr /sprt 1688
rem 启用/禁用 DNS 自动发布 SRV
slmgr /sdns
slmgr /cdns
rem 查看当前激活计数
slmgr /dlv rem 关注 Current Count 字段客户端接入
批量授权版本通常已内置 GVLK，接入域/内网后会自动发现主机完成激活，无需任何操作。若需要手动指定（例如零售版转 KMS 客户端、DNS 不通）：
客户端侧（管理员）
rem 1. 安装对应版本的 GVLK
slmgr /ipk W269N-WFGWX-YVC9B-4J6C9-T83GX rem 例：Win10/11 专业版
rem 2. 指定 KMS 主机（内网自建，勿填来路不明的公网地址）
slmgr /skms kms.corp.example.com:1688
rem 3. 立即激活
slmgr /ato
rem 4. 验证
slmgr /xpr
slmgr /dlv改回自动发现：slmgr /ckms。完整 GVLK 见 官方密钥对照表。
阈值：为什么前几台激活不了
KMS 主机必须累计看到足够的不同机器请求才会开始激活：
- 客户端操作系统（Windows 10/11）：至少 25 台
- 服务器操作系统（Windows Server）：至少 5 台
这是硬性设计。不足阈值时客户端会持续报错（常见 0xC004F038），不是配置错误。测试环境可以用 slmgr /sai//sri 缩短尝试间隔来加速观察，但生产环境请按实际规模规划。
续订机制（180 天规则的由来）
- 激活成功后，客户端获得 180 天有效期
- 客户端每 7 天尝试联系主机续订一次，续订成功则有效期回满
- 若机器离开内网（出差、封存）超过 180 天，回到未激活状态，回到内网后自动恢复
这是设计行为，不是「破解失效」。判断依据：slmgr /xpr 会显示到期日期而不是「永久激活」。
排障清单
| 现象 | 排查 |
|---|---|
| 客户端找不到主机 | nslookup -type=srv _vlmcs._tcp；检查 DNS 发布、防火墙 TCP 1688 |
报 0xC004F038 | 激活计数未达阈值，或主机未激活自身 |
报 0x8007232B / 0xC004F074 | DNS 解析不到 KMS SRV 记录，或不在企业网络内 |
报 0xC004F00F | GVLK 与安装版本不匹配 |
| 主机计数一直不涨 | 看事件查看器 Applications and Services Logs → Microsoft → Windows → SoftwareProtectionPlatform |
| 时间不对导致失败 | 先校正系统时间，报 0x80072F8F 多因时间/网络 |
2026 起的新变化：KMS 主机要验 TPM
微软正在为 KMS 引入基于硬件信任的机制，要求 KMS 主机通过 TPM 芯片进行身份验证。
自 2026 年 8 月起，Windows Server 2025 先行引入检测机制；从下一个 Windows Server 长期服务通道版本开始，TPM 认证将成为强制要求。
规划新主机时请预留 TPM 2.0 支持。
不要做的事
- 不要把你的 KMS 主机暴露到公网——等于替全网盗版提供激活服务，协议会被追责
- 不要使用网上流传的第三方公网 KMS 地址——微软明确不认可，且这些地址常被用于投递恶意流量
- 不要在没有批量授权协议的情况下搭建「自用 KMS 主机」——没有合法 CSVLK 的前提下，任何实现的本质都是绕过授权
延伸阅读
- KMS 主机完整部署指南 — 分步实操
- ADBA 专题 — 有域可选
- GVLK 官方密钥表 — 54 条
- 授权条款解读 — 合规边界