「IIS だけで Windows Server を使う場合、SaaS 利用者に CAL は要るのか？」──現場で最もよく受ける質問のひとつです。答えはシンプルに見えて、ユーザーの属性（社内/社外）、認証の有無、負荷分散や仮想化などの構成で最適解が変わります。本記事では、ライセンス用語の整理から、シナリオ別の判定、費用の考え方、監査で問われやすいポイントまで、実務で迷わないための判断軸を体系的にまとめます。
結論（要点サマリー）
- 原則：IIS を介したアクセスであっても、Windows Server 上のサービスにアクセスする 内部ユーザー/デバイス には Windows Server CAL が必要です（間接アクセスを含む）。
- 外部ユーザーのみが対象なら、サーバー単位の Windows Server External Connector（EC） を選べます。EC はユーザー数無制限の代替で、社外利用者のみに適用されます。
- 匿名の一般公開サイト（ログイン/識別なし）の閲覧については、CAL が不要となる特例が知られています。ただし、会員制や個別識別（メール・ID など）がある SaaS では 匿名ではない ため、CAL/EC の検討が必要です。
- SQL Server Express は CAL 不要ですが、OS 側（Windows Server）の CAL 要否とは独立です。IIS でアプリを提供するなら、Express の無料性だけで OS の CAL を免れることはできません。
- 実務：内部/外部ユーザーの区分と人数、サーバー台数（LB/冗長構成含む）を棚卸しし、User CAL・Device CAL・EC の組み合わせで総額最小となる構成を選びます。最終判断はリセラー/専門家での確認が安全です。
前提となる利用シナリオ
本記事が想定する環境は次のとおりです。
- Windows Server 上で IIS のみを利用し、SaaS アプリをホスト。
- Active Directory、ファイル/プリンタ共有など、OS の他機能は未使用。
- ユーザーは Web ブラウザでアクセスし、認証はアプリ側ロジック（Windows 認証は未使用）。
- データベースは SQL Server Express（DB ライセンスは無償相当）。
この条件下でも、OS のサービスである IIS にアクセスするという構造は変わりません。したがって、CAL の議論は引き続き避けられません。
Windows Server のライセンス構造（実務に効く要点）
Windows Server では、サーバー本体のライセンス（通常はコアベース）と、アクセス権（CAL/EC）を分けて考えます。
CAL の種類と単位
| 種類 | 課金単位 | 主な適用対象 | ポイント |
|---|---|---|---|
| User CAL | ユーザー数 | 1 人が複数端末を使う場合 | テレワーク/多端末なら有利。 |
| Device CAL | デバイス数 | 1 台を複数人で共有する場合 | コールセンター端末等で有利。 |
| External Connector（EC） | サーバー台数 | 社外ユーザーのみがアクセス | ユーザー数無制限。内部ユーザーには非適用。 |
| RDS CAL | ユーザー/デバイス | リモートデスクトップ/VDI | 本件（IIS 経由の Web 利用）には通常不要。 |
ここで重要なのは、間接アクセス（プロキシ/負荷分散/ミドルウェア経由）でも CAL は必要と解される点です。IIS 上のアプリにアクセスするという事実があれば、アプリがユーザーを代行して OS に「間接」アクセスしている扱いになります。
IIS だけの利用でも CAL が必要とされる理由
IIS は Windows Server に含まれる サーバー機能です。アプリが Windows 認証を使っていなくても、HTTP 要求を受け付け、OS のリソース（プロセス、メモリ、ネットワークスタック、ファイル I/O など）を使用して応答を返します。ライセンスの考え方は 「OS が提供するサービスにアクセスしたか」で判断されるため、アプリ経由のアクセスでも CAL が必要という結論に至ります。
また、多段構成（リバースプロキシ、Web アプリ FW、API ゲートウェイ）を挟んでいても、これらは 多重化/集約（multiplexing）と見なされ、ユーザー数を物理的に減らしても CAL の必要数を回避する手段にはなりません。
例外・特例の取り扱い
- 匿名の一般公開サイト：ログインなしの単なる閲覧で、外部匿名ユーザーがサイトを見るだけのケースは、CAL が不要とされる代表的な特例です。ただし、会員登録/ログインによって個人が識別されると、もはや匿名ではありません。
- 管理者用の接続（2 接続まで）：サーバー管理者が OS を管理するための限定的な接続は、別枠の管理目的として扱われます。利用者アクセスをカバーするものではありません。
- SQL Server Express：DB 側は無償ですが、OS の CAL は別問題。IIS 経由のアクセスがある以上、Windows Server 側のアクセスライセンスは引き続き検討が必要です。
- Windows 11 Pro での代替：クライアント OS には CAL という概念がなく、IIS を有効化できますが、ライセンス条項は クライアント用途を前提としており、サーバー用途での公開運用は適しません。さらに SMB の同時接続制限（例：20 セッション）等の制約もあり、SaaS 基盤としては非推奨です。
- クラウド（IaaS）上の Windows Server：ベンダーが OS ライセンスを含む形で提供する場合でも、RDS など別枠の CALは依然として必要になることがあります。IIS の Web アクセスは通常 RDS とは別ですが、構成次第で要件が変わるため契約条項を確認してください。
- 第三者に対するホスティング提供：自社が サービスプロバイダーとして第三者にホスティングを提供するモデルは、一般のボリュームライセンスと要件が異なることが多く、サービスプロバイダー向け契約（例：SPLA 等）が必要になり得ます。
シナリオ別・判定早見表（IIS だけを使う場合）
| 利用者 | 認証 | Windows 認証 | 必要なもの | 補足 |
|---|---|---|---|---|
| 社内ユーザー | あり（アプリ側） | 不使用 | User/Device CAL | IIS への間接アクセスでも CAL 対象。 |
| 社外ユーザーのみ | あり（会員制） | 不使用 | EC（サーバー単位） | ユーザー数無制限。社内ユーザーは別途 CAL が必要。 |
| 社外ユーザーのみ | なし（完全匿名） | 不使用 | 原則 CAL 不要 | ログイン/識別がなければ匿名公開の特例に該当。 |
| 社内+社外 | あり | 不使用 | EC + 社内分 CAL | EC は社外向けのみ。社内は CAL が必要。 |
| 管理者のみ | 管理目的 | OS 管理 | 管理用接続枠 | 一般利用者アクセスは別途 CAL/EC が必要。 |
コスト最適化：CAL と External Connector の選び方
費用は ユーザー/デバイス数 と サーバー台数 の掛け合わせで最小化できます。次の式を使うと、概算の分岐点を素早く見積もれます（記号は説明用）。
総額(User CAL) = 単価(User CAL) × 社内ユーザー数総額(Device CAL) = 単価(Device CAL) × 社内デバイス数総額(EC) = 単価(EC) × 外部公開に使うサーバー台数総額(混在) = 総額(EC) + 必要最小限の CAL（社内分）
判断のコツは次のとおりです。
- 社外が圧倒的に多い：EC をベースに、社内分だけ CAL を足す。
- 社内が大多数：User/Device CAL のみで構成したほうが安いことが多い。
- 共有端末が多い：Device CAL が有利。
- テレワーク・多端末：User CAL が有利。
試算テンプレート（入力して使える表）
| 項目 | 数量 | 単価（参考入力欄） | 小計 | メモ |
|---|---|---|---|---|
| User CAL | 社内ユーザー数 | — | = 数量 × 単価 | 多端末ユーザーが多い場合に有利 |
| Device CAL | 社内デバイス数 | — | = 数量 × 単価 | 共有端末が多い現場で有利 |
| External Connector | 公開サーバー台数 | — | = 数量 × 単価 | 社外ユーザー用。LB/冗長で台数に注意 |
| 合計 | — | — | = 上記小計の合計 | EC + 社内 CAL の合算が定石 |
アーキテクチャとライセンスの相互作用
- 負荷分散/冗長化：EC は サーバー単位。ロードバランサー配下に Web サーバーが 3 台あれば、EC は 3 本必要になる前提で見積もるのが安全です。
- 仮想化/コンテナ：CAL/EC の単位はユーザー/デバイス/サーバーで変わりません。サーバー OS ライセンス（コア課金）と混同しないように注意します。
- 多段プロキシ/ゲートウェイ：多重化（multiplexing）によるユーザー数圧縮は CAL 回避策になりません。元のユーザー/デバイスが基準です。
- 監査対応：アクセスログから 内部/外部の区分や人数推計ができるよう、ID 管理/記録（監査証跡）を整備しておくと安心です。
- 開発/検証環境：開発用の特別な権利は本番利用をカバーしません。本番相当のアクセスがあるなら、CAL/EC を別途検討します。
- Windows 11 Pro の IIS：短期の検証や小規模のイントラ自動化には役立つ場合がありますが、公開 SaaS の恒常運用には適しません。性能/可用性/サポートの観点からも Windows Server が推奨です。
よくある誤解と対策
- 「Web はブラウザ経由だから CAL なし」：IIS は OS のサーバー機能です。アクセス経路ではなく、OS サービスにアクセスした事実が基準です。
- 「プロキシで集約すれば CAL は減る」：多重化は回避策になりません。元のユーザー/デバイス数で評価されます。
- 「SQL Express だから全体で無料」：DB は無償でも、OS 側の CAL/EC は別途必要です。
- 「EC を買えば社内も全部カバー」：EC は社外ユーザー向け。社内ユーザーは User/Device CAL が必要です。
- 「Windows 11 Pro に IIS を入れて公開すれば良い」：クライアント OS はサーバー用途での公開運用に適しません。ライセンス条項/技術制約/サポートの観点で非推奨です。
実務での手順（チェックリスト）
- 区分の明確化：内部ユーザーと外部ユーザーを定義し、人数/デバイス数を棚卸し。
- 構成の確定：公開サーバー台数（LB/冗長含む）、仮想/物理の台数をリストアップ。
- 試算：User CAL・Device CAL・EC のパターンを組み合わせ、最小総額を算出。
- 例外の確認：匿名一般公開の有無、管理用接続の扱いを明記。
- 契約/条項の最終確認：リセラーまたはライセンス専門家に構成と試算を提示し、監査リスクを最小化。
- 監査対応：ユーザー区分/アクセスログ/構成図/見積書の保管と更新手順を整備。
FAQ（IIS だけを利用する場合の典型 Q&A）
Q1. 社外顧客だけがログインして使う会員制 SaaS。最も簡素なライセンスは？
External Connector をサーバー台数分。社内の運用者がアプリにログインして管理する場合、その 社内アカウント分は別途 User/Device CAL が必要です。
Q2. 社内 50 名・社外 5,000 名、Web サーバー 3 台（LB 構成）。どう組む？
外部は EC × 3 台、内部は User CAL × 50（または端末共有が多いなら Device CAL）を比較し、安い方を採用します。
Q3. 認証なしの情報公開サイトだが、同じ IIS に会員制の別アプリも同居。どう数える？
匿名公開部分は CAL の特例に該当する可能性がありますが、同一サーバー上で会員制アプリも提供しているなら、会員制部分のアクセスに対する CAL/EC を別途評価します。サーバーを分けると説明が明瞭になります。
Q4. 物理 2 台で仮想マシンを可用化（同時稼働 Web VM は 3 台）。EC は何本？
EC は 外部ユーザーがアクセスするサーバー単位。一般には 同時に公開トラフィックを受ける VM/ホスト台数分で見積もります。DR 専用の待機機に適用するかは契約/運用形態の確認が必要です。
Q5. リバースプロキシ（Linux）を前段に置けば CAL は不要？
いいえ。間接アクセスでも Windows Server のサービスにアクセスした扱いです。CAL が不要になるわけではありません。
Q6. SQL Server Express を使うと CAL は 1 つも不要？
DB 側（Express）は CAL 不要でも、IIS が動く Windows Server 側のアクセス権は別です。OS の CAL/EC を評価してください。
Q7. Windows 認証を使わなければ CAL は要らない？
認証方式は直接関係しません。OS のサービスにアクセスするかが基準です。
ケーススタディ：小規模社内 + 大規模外部ユーザーの SaaS
次のような構成を考えます。
- Web サーバー（IIS）× 2 台（LB）
- 社内運用者 15 名、外部顧客 3,000 名
- SQL Server Express（同一サーバー/別 VM）
この場合、外部利用者が大多数のため、EC × 2 台を中核に、社内向けに User CAL × 15（または端末共有が多ければ Device CAL）を追加するのが定石です。EC で外部を無制限にカバーしつつ、社内分だけ最小で調達できます。
監査で問われやすいポイント
- 内部/外部ユーザーの明確な定義と証跡：雇用形態、委託・派遣、パートナーの扱いなど、社内扱いか社外扱いかの線引きを文書化。
- サーバー台数の証跡：LB 配下の実サーバー数、スケールアウト/インの履歴、DR/予備機の扱い。
- 構成図とログ：プロキシ/ゲートウェイを含むネットワーク図、アクセスログ、管理者接続の運用ルール。
- 契約書控え：CAL/EC の SKU、数量、適用範囲の記録。
まとめ：迷ったら「区分 × 単位 × 台数」で整える
IIS だけを使う場合でも、Windows Server のサービスにアクセスする以上、内部ユーザーには CAL が必要というのが原則です。外部ユーザーだけの SaaS なら External Connector が強力な選択肢になります。最小コストを実現するには、（1）内部/外部の区分、（2）User/Device/EC の単位、（3）公開サーバー台数──この 3 つを揃えて見積もり、最後にリセラー/専門家へ確認するのが最短経路です。設計段階でここまで決め打ちしておけば、運用開始後の監査でも堂々と説明できます。
コメント