Device Lizenzierung Exchange

[Dr.Melzer 191]

Übe den Exchange Server. Um den geht es ja.

Ist es möglich über den Exchange Server Mails zu verschicken ohne sich daran zu authentifizieren? IMHO brauchst du dafür ein Mailkonto auf dem Exchange, mit Benutzername und Kennwort...

 Und die machen ja auch keine Autentifizeirung am Exchange, sondern haben nur den Exchange als SMTP eingetragen.

Senden ohne Authentifizierung?

[Nobbyaushb 1.359]

Ist es möglich über den Exchange Server Mails zu verschicken ohne sich daran zu authentifizieren? IMHO brauchst du dafür ein Mailkonto auf dem Exchange, mit Benutzername und Kennwort...

Senden ohne Authentifizierung?

Nein, brauchst du nicht.

 

Kommt drauf an, wie der / die internen Connectoren eingerichtet sind.

Und selbst mit Auth (die dann gegen das AD prüft) brauchst du kein Konto.

 

;)

[monstermania 53]

@Dr. Melzer

Nö,

man kann unter Exchange einen SMTP Empfangskonnector einrichten der Mails ohne Authentifizierung annimmt.

Sollte man natürlich beschränken, so dass anonymes Senden nur von bestimmten IP-Adressen aus möglich ist (z.B. Multifunktionsgeräte).

 

Mich würde nur Interessieren, ob das stimmt, dass man dafür dann keine Exchange Device Cal benötigt. Dann hätten wir nämlich 35 Device CAL's gekauft die wir gar nicht brauchen. Könnte man ja dem MS-Auditor in Rechnung stellen, da dieser uns ja zum Kauf genötigt hat. ;)

[Nobbyaushb 1.359]

Mich würde nur Interessieren, ob das stimmt, dass man dafür dann keine Exchange Device Cal benötigt. Dann hätten wir nämlich 35 Device CAL's gekauft die wir gar nicht brauchen. Könnte man ja dem MS-Auditor in Rechnung stellen, da dieser uns ja zum Kauf genötigt hat.

Das kommt drauf an, ob die nur Mails senden oder ggf. noch PDF oder anderweitig Daten auf einem Windows-Share ablegt.

 

Wir hatten letztes Jahr einen Audit und das hat der Prüfer nicht beanstandet, da die MFP nur Mails senden.

 

bearbeitet 9. März 2016 von Nobbyaushb

[lizenzdoc 198]

Hi,

 

also, wenn morgen die Lizenzen über einen Volumen-Vertrag gekauft werden würden,
würden ja die Produktbestimmungen März-2016 neben dem Vertragstext lizenzrechtlich gelten ...

 

Laut Produktbestimmungen März-2016, Seite-11:

Server/CAL / Serverlizenzen (pro Instanz)
Der Kunde ist berechtigt, für jede erworbene Serverlizenz eine Ausgeführte Instanz der Serversoftware
entweder in einer Physischen OSE oder in einer Virtuellen OSE auf einem Lizenzierten Server auszuführen.
Zugriffslizenzen
1. Außer wie hierin beschrieben und in den Produktspezifischen Lizenzbestimmungen   angemerkt,
    kann jeglicher Zugriff auf Serversoftware nur mit CALs oder CAL-äquivalenten Lizenzen erfolgen.

2. CALs sind für den Zugriff durch einen anderen Lizenzierten Server nicht erforderlich.

 

Und im Kapitel zum WIN-SVR /Exchange-SVR stehen keine weiteren Ausnahmen.

 

D.h. für mich = eine Nutzung(Zugriff) ist eine Interaktion mit der relevanten Server-Software.

Und im Weiteren meine ich dadurch, dass eine "Nutzung" des Exchange-SVR somit
die WIN-CAL und die Exchange-CAL bedingt.

 

Und Prüfer sind auch nur Menschen ...

Und bei einer gewissen Menge an "diversen (Klein-) Geräten" im Netzwerk
wäre es eine Kosten-Nutzen-Rechnung über die Anschaffung von jeweils 100 WIN- + 100 Exchange-CALs
auf USER-Basis nachzudenken, -rechnen...
Ergibt sich bei einem Audit eine Unterlizenzierung von nur 5% bei den Exchange-CALs,

trägt der Kunde die Auditor-Kosten alleinig, die bei geschätzten 2.500 € pro Tag und Person liegen dürften.
Eine Exchange-User-CaL kostet ca. 88 € (netto aus dem WEB)

Eine WIN-User-CAL kostet ca. 38 € (netto aus dem WEB)

20 CAL-Kombis kosten ca. so viel wie 1 Auditor-Tag ...

Welches Audit dauer aber nur 1 Tag mit 1 Person ...

 

Sollte man einfach mal mitbedenken ...

 

VG, Franz
 

 

[monstermania 53]

Das kommt drauf an, ob die nur Mails senden oder ggf. noch PDF oder anderweitig Daten auf einem Windows-Share ablegt.

 

Wir hatten letztes Jahr einen Audit und das hat der Prüfer nicht beanstandet, da die MFP nur Mails senden.

 

 

Nicht die Sachen vermischen, es geht hier ausschließlich um Exchange Device CAL!

Die reine Windows Server CAL-Lizenzierung hat damit ja erstmal nichts zu tun. Und das ist bei uns eh über entsprechende Anzahl Windows User CAL lizenziert.

Fakt ist, dass der Auditor auf die Exchange Device CAL für die Multifunktionsgeräte, USV, Switche, usw. bestanden hat! Wir hatten bis zum Audit nur 50 Exchange User CAL!

 

 

Und Prüfer sind auch nur Menschen ...

 

Und bei einer gewissen Menge an "diversen (Klein-) Geräten" im Netzwerk

wäre es eine Kosten-Nutzen-Rechnung über die Anschaffung von jeweils 100 WIN- + 100 Exchange-CALs

auf USER-Basis nachzudenken, -rechnen...

Ergibt sich bei einem Audit eine Unterlizenzierung von nur 5% bei den Exchange-CALs,

trägt der Kunde die Auditor-Kosten alleinig, die bei geschätzten 2.500 € pro Tag und Person liegen dürften.

Eine Exchange-User-CaL kostet ca. 88 € (netto aus dem WEB)

Eine WIN-User-CAL kostet ca. 38 € (netto aus dem WEB)

20 CAL-Kombis kosten ca. so viel wie 1 Auditor-Tag ...

Welches Audit dauer aber nur 1 Tag mit 1 Person ...

Ja,

sind auch nur Menschen.

Aber man darf doch wohl erwarten, dass sich die Auditoren mit dem eigenen Lizenzdickicht auskennen, oder!?

Schließlich wird von Seite MS auch eine ganz schöne Drohkulisse aufgebaut und dann man nachher ja froh, wenn da nur Kleinigkeiten wie ein paar fehlende Exchange Device CAL herauskommen.

[Dr.Melzer 191]

@Dr. Melzer

Nö,

man kann unter Exchange einen SMTP Empfangskonnector einrichten der Mails ohne Authentifizierung annimmt.

Sollte man natürlich beschränken, so dass anonymes Senden nur von bestimmten IP-Adressen aus möglich ist (z.B. Multifunktionsgeräte).

 

Mich würde nur Interessieren, ob das stimmt, dass man dafür dann keine Exchange Device Cal benötigt. Dann hätten wir nämlich 35 Device CAL's gekauft die wir gar nicht brauchen. Könnte man ja dem MS-Auditor in Rechnung stellen, da dieser uns ja zum Kauf genötigt hat. ;)

 

Ob du in dem fall Exchange CALs benötigst oder nicht kommt darauf an. Je nach Version des Exchange kann es sein dass du keine benötigst. dazu musst du in den Nutzungsrechten der speziellen Exchange Version nachsehen. Wenn dort die Ausnahme mit nicht authentifiziertem Zugriff steht brauchst du keine. Für aktuelle Versionen (siehe Beitrag von Franz) brauchst du welche.

[Ste83 10]

Wenn ich mir die Geschichte von Monstermania so ansehe, ist man da schon ein wenig der Auslegung und Ansichten eines Auditors ausgeliefert.

Vor allem bei "Kann" Sachen. Mein Switch oder die USV kann automatisiert Emails senden bei irgendwelchen Ereignissen. Man muss es aber immer erst konfigurieren.

Wie kann man sicher sein, dass so was nicht als zugreifendes Gerät angesehen wird?

 

Stelle mir den Fall vor, der Prüfer deutet auf eine USV und sagt die braucht doch auch eine Exchange Device CAL wegen den möglichen Infomails bei Stromausfall. Und ich sage die sendet keine Mails. Ich hör die piepen wenn der Strom weg ist. Sie ist nur am Netzwerk um den Batteriestand Online zur Prüfen. Wer hat Recht und wer muss es beweisen? (Das eine Windows CAL benötigt wird ist klar).

 

Selbst normale Windows PCs oder Fertigungsmaschinen mit Windows. Es ist kein Outlook installiert. OWA ist am Exchange deaktiviert. Ne Email kann ich aber ggf. per Telnet absenden wenn ich weiß wie das geht. Lizenzpflichtig? Und glaubt mir das der Prüfer?

 

[lizenzdoc 198]

Hi,

 

mir ist klar, nichts ist unmöglich.
Tricks gibt es überall, der Kreativität ist ja kaum Grenzen gesetzt und wen jemand will, dann gelingt ihm das auch.

 

Da kommt wohl das "Ego" zum Tragen.
Will ich compliant/legal sein und bleiben, oder nicht.
Welcher Aufwand steht dem Nutzen gegenüber?

Wenn solche Trick ... wie erpressbar bin ich gegenüber "Insiderwissen" der gerade sich "benachteiligt fühlt" ?
Der hat vielleicht schon gekündigt,
bei der BSI detailiert "das Vergehen" berichtet und somit dem Auditor "Hinweise zum Auffinden" gegeben ...

 

-- Die Welt ist schlecht und wir sitzen mitten drin --

 

Vermeiden kann man das nie 100%, so wie bei der Security, 100% Schutz heißt > Stecker ziehen und Menschen fernhalten

 

VG, Franz

[Ste83 10]

Hallo Franz,

 

ich weiß nicht, ob du mich mit deinem letzten Beitrag meintest, aber das waren Fragen, die nicht drauf abzielen ob und wie man tricksen will / kann.

 

Es steht für mich ehr die folgende Frage im Vordergrund:

Muss ich wirklich Zuviel Lizenzieren, um bei einem Audit keine Probleme zu bekommen?

 

Denke wir sind uns einig das der Zugriff eine CAL bedingt.

 

Wer muss im Audit beweisen das ein Gerät auf den Exchange zugreift oder zugegriffen hat.

Z.B. die Fertigungsmaschine mit Windowsbetriebssystem unter der Herstellerbedieneroberfläche. Oder das Gerät das Statusmails versendet, sobald man die Exchangeadresse im Webinterface eingibt, aber Out of The Box eben keine Mails sendet da es nicht weiß wohin.

Ohne das ich da irgendwie schummeln will. Es kann Geräte geben die könnten Email versenden, aber ich brauch es einfach nicht und nutze es auch nicht.

[Dr.Melzer 191]

Um das Thema "Auditoren sind auch Menschen" abzukürzen:

 

Wenn ihr der Meinung seid, dass der Auditor irrt, oder ihr denkt dass es anders sein muss, als der auditor euch sagt, lasst euch von ihm zu jedem Punkt sagen auf welchen teil der rechtsverbindlichen Dokumente er seien Aussage stützt.

 

Wir machen das hier auch. Wenn etwas behauptet wird, belegen wir das mit dem dafür relevanten Passus der rechtsverbindlichen Dokumente und erläutern warum wir dieser Meinung sind.

 

Dann ist das meiste klar und mit ein paar Unschärfen müssen wir am Ende des Tages alle leben.

[monstermania 53]

Wenn ich mir die Geschichte von Monstermania so ansehe, ist man da schon ein wenig der Auslegung und Ansichten eines Auditors ausgeliefert.

 

Wir hatten hier bis letztes Jahr Forefront für Ex2007 im Einsatz. War seinerzeit (2007) zusammen mit dem EX 2007 beschafft worden.

Der Auditor bestand darauf, dass wir dann auch Enterprise CAL für Exchange benötigen würden, da FF für Exchange dies voraussetzen würde. Außerdem würden wir noch eine aktive SA für die CAL benötigen.

Wir mußten tatsächlich die alten Rechnungen rauskramen um dem Auditor aufzeigen zu können, dass das seinerzeit von MS so angeboten und verkauft wurde!

bearbeitet 10. März 2016 von monstermania

[lizenzdoc 198]

hi,

@Ste83: Nein, ich wollte Dir nichts unterstellen, das war global gemeint.

 

Ein vielleicht wichtiger Hinweis:
MS zwingt keinen zum Lizenzieren, "wenn der Zugriff/Nutzen geschehen könnte"
also keinen Konjunktiv lizenzieren.
Wird genutzt/zugegriffen, ist eine Lizenz fällig.

Wird nicht genutzt/zugegriffen, ist keine Lizenz fällig.

Man muss manchmal dies einfach für ein Audit schriftlich dokumentieren.

Da wird dann auch ein Auditor vorsichtiger.

 

Und richtig, immer bei fraglichen Aussagen darauf bestehen, dass derjenige es an Hand
vertragsrelevanten Dokumenten belegt:
Vertrag / Productlist/PURs/Produktbestimmungen/Lizenzierungshandbuch (Bei SA via MPSA!) / schriftliche Nebenabrede von MS-Irland ...
Alles andere ist nicht relevant.

Da muss man knallhart bleiben, ansonsten eiert man rum.

 

VG, Franz

[NorbertFe 1.805]

Wir hatten hier bis letztes Jahr Forefront für Ex2007 im Einsatz. War seinerzeit (2007) zusammen mit dem EX 2007 beschafft worden.

Der Auditor bestand darauf, dass wir dann auch Enterprise CAL für Exchange benötigen würden, da FF für Exchange dies voraussetzen würde. Außerdem würden wir noch eine aktive SA für die CAL benötigen.

Wir mußten tatsächlich die alten Rechnungen rauskramen um dem Auditor aufzeigen zu können, dass das seinerzeit von MS so angeboten und verkauft wurde!

Ja selbstverständlich. Das lässt sich im übrigen im vlsc sehr gut nachvollziehen. Abgesehen davon kam ständig nach Ankündigung die Erinnerung, dass der Vertrag doch verlängert werden soll. ;)

[Dr.Melzer 191]

 

 

Und richtig, immer bei fraglichen Aussagen darauf bestehen, dass derjenige es an Hand

vertragsrelevanten Dokumenten belegt:

Vertrag / Productlist/PURs/Produktbestimmungen/Lizenzierungshandbuch (Bei SA via MPSA!) / schriftliche Nebenabrede von MS-Irland ...

Alles andere ist nicht relevant.

 Das Lizenzierungshandbuch ist auch nicht relevant, da nicht rechtsverbindlich.

 

Rechtsverbindlich ist nur der Vertrag (weil den der Kunde unterschrieben hat) und die darin explizit als Vertragsbestandteil genannten Dokumente (Produktnutzungsrechte, Product List, Produktbestimmungen und eventuell getroffene Nebenabreden zum Vertrag).