Windows Server 2025 Datacenter Azure Editionの紹介

Windows Server 2025 Datacenter Azure Editionの機能概要や、閉域ネットワーク環境への導入時に遭遇したライセンス認証エラーの原因とその解決策について解説します。

私の環境においてAzure上に構築しているVMのバージョンはWindows Server 2022 Datacenterが多いです。
しかしサポート終了のアナウンスが発表済みのため、新しいバージョンに切り替えていく必要があります。

Windows Server 2022のメインストリームサポートが2026年10月13日、延長サポートが2031年10月14日に終了します。

出典：Microsoft「Windows Server 2022」

今回はWindows Server 2025 Datacenter Azure Editionを採用することとなり、機能や注意点の紹介をさせていただきます。

紹介

Azure Editionとは何か

Azure での実行に最適化され、イノベーションと仮想化に重点を置いた Windows Server のエディションです。

Azure最適化とは、Azure環境やAzure Stack HCI環境での運用に特化した最適化を指します。
これには、Azureのインフラストラクチャに最適化されたパフォーマンス、セキュリティ、管理機能が含まれます。
具体的には、Azure Resource Manager (ARM) テンプレートのサポート、Azure ポータルでの簡単な管理、Azureのセキュリティ機能との統合などが含まれます。

機能面で Azure Edition 特有として、 Hotpatch / SMB over QUIC /（データ転送用）記憶域レプリカ圧縮 / Azure 用拡張ネットワークが挙げられています。

出典：Microsoft「Azure Edition for Windows Server とは」

Azure Editionの機能

さまざまな機能がありますが、その一部を紹介します。

Azure 用拡張ネットワーク
オンプレミスのサブネットを Azure に拡張できます。これにより、オンプレミスの仮想マシンを Azure に移行する場合には、元のオンプレミスプライベート IP アドレスを保持できます。
SMB over QUIC
SMB を “TCP 445” ではなく UDP 443 + TLS 1.3 の QUIC トンネルで通すことで、インターネット越しでも「SMB VPN」のように安全にファイル共有できる仕組みです。
ホットパッチ
再起動なしで OS セキュリティ更新を適用する方式で、実行中プロセスのメモリ内コードへパッチを当てます。

残念ながら自身で作成したカスタムイメージからデプロイしたVMではホットパッチ機能は利用することはできない仕様です。

遭遇したトラブル

ライセンス認証エラー

閉域ネットワーク環境にて Windows Server 2025 Datacenter Azure Edition のVM をデプロイしました。

その後、初回ログイン時にライセンス認証エラーの画面が表示されました。

Windows Server 2025 Datacenter Azure Edition＞のスクリーンショット画像

このエラーは“Azure Edition の正当性確認（Azure 上で動いている／Azure 特典の条件を満たしているか）に失敗した” と Windows が判断したときに出る警告

原因：証明書の自動取得ができないため

出典：Microsoft「Windowsアクティベーションの透かしが引き続き表示される」
- Azure上でのライセンス認証の仕組み
  Azure Edition の Windows Server は、Azure環境上で稼働していることを前提に自動的にライセンス認証が行われます。
  この認証では以下の要素が利用されます。
  - Azure Instance Metadata Service (IMDS)
  - Azure が発行する証明書
  - 外部エンドポイントからの証明書取得

そのため、ネットワーク制限がある環境では認証に失敗する可能性があります。

解決策
以下２つの解決策があります。
1. ネットワーク側での許可を行う

ダウンロード先のFQDNが公開されていますので、そこに対してport80で許可を行う
Azure FireWallの場合はFQDN フィルタリングを使い許可することができますが、 NSGを使った制御の場合、残念ながらサービスタグの公開はないのではIPレベルではport80インターネット向けを解放しか実現できません。

不足している証明書をインストールを行う(閉域ネットワーク)
環境下では以下のものが対象でした。
CN=Microsoft Azure RSA TLS Issuing CA 04, O=Microsoft Corporation, C=US

- インストールした証明書  
  ① Microsoft Azure ECC TLS Issuing CA 04.crt  
  ② Microsoft Azure RSA TLS Issuing CA 04 - xsign.crt

  証明書の確認方法は以下

出典：Microsoft「Windowsアクティベーションの透かしが引き続き表示される」

手動で証明書をインストールして対応した場合は証明書の期日管理を行う必要があります。

ライセンスが認証できない場合での影響
OS の動作に即時致命的な影響を与えるものではありませんが、 Windows Server Datacenter Azure Edition が前提とする Azure 上での正当性検証が未完了の状態となります。
その結果、 IMDS サービス自体の利用や、Windows EOS バージョンの拡張セキュリティ更新プログラムのインストールなどの機能に影響がある可能性があるようです。
なにより、認証エラーウインドウが邪魔です。
出典：Microsoft「Azure インスタンスメタデータサービスと証明書に関連する問題」

まとめ

Azure Instance Metadata Service（IMDS）は明示的に拒否しない限りはネットワーク的に到達可能ですので、自動で証明書もダウンロードされるものかと思っておりましたが、そういう仕様ではないため注意が必要です。
Azure Edition はクラウドネイティブの設計思想であるため「OS単体では完結しない」というのが通常版 Datacenterとの大きな違いです。

＼シェアをお願いします！／