Windows Server 2025 arrive dans un contexte où les équipes IT doivent à la fois prolonger des infrastructures virtualisées solides, absorber des usages d’IA plus gourmands et réduire l’exposition aux ransomwares. Cette version LTSC ne change pas seulement l’interface d’administration : elle fait évoluer les capacités de Hyper-V, durcit plusieurs fondations de sécurité et remet le licensing par cœurs au centre des arbitrages.
La bonne question n’est donc pas « faut-il installer la dernière version ? », mais « quels gains mesurables justifient la migration dans notre architecture ? ». Une PME avec deux hôtes de virtualisation, une agence multi-sites et un datacenter à forte densité ne feront ni le même choix d’édition, ni le même usage du GPU, ni le même calendrier de déploiement.
Ce que Windows Server 2025 change réellement
Windows Server 2025 s’inscrit dans la continuité de Windows Server 2022, mais avec une orientation plus nette vers l’hybride et l’automatisation. Le système reste un socle pour Active Directory, les fichiers, les applications métier et les machines virtuelles locales. Il ne transforme pas, à lui seul, une infrastructure classique en cloud privé : ses apports prennent leur valeur lorsqu’ils sont combinés à une architecture réseau cohérente, à des sauvegardes immuables ou isolées et à une supervision sérieuse.
Les administrateurs qui exploitent déjà Hyper-V, Failover Clustering, Windows Admin Center ou Azure Arc retrouveront une trajectoire familière. En revanche, les environnements reposant sur des pilotes anciens, des cartes réseau spécialisées, des logiciels de sauvegarde peu maintenus ou des baies de stockage propriétaires doivent traiter l’upgrade comme un projet de compatibilité, pas comme une simple mise à jour de système.
Hyper-V 2025 : davantage de souplesse, surtout pour le GPU
La nouveauté la plus structurante pour certains environnements est le GPU Partitioning, ou GPU-P. Au lieu d’affecter une carte graphique entière à une seule machine virtuelle, l’hôte peut présenter des partitions de GPU à plusieurs VM. C’est pertinent pour des postes virtuels avec accélération graphique, de l’inférence IA, de l’analyse d’images ou des applications de calcul qui n’exigent pas un accélérateur dédié par VM.
Il faut toutefois éviter un raccourci fréquent : GPU-P ne crée pas un pool magique de GPU entre plusieurs serveurs. La carte reste physiquement installée dans un hôte. La mobilité des VM et la haute disponibilité imposent des hôtes matériellement compatibles, avec des GPU, pilotes et configurations validés. Avant de promettre une migration à chaud d’une charge accélérée, il faut vérifier la matrice de compatibilité du constructeur, les versions de pilotes et le comportement réel de l’application.
| Fonction | Apport opérationnel | Point de contrôle avant production |
|---|---|---|
| GPU-P | Partage contrôlé d’un GPU compatible entre plusieurs VM ; meilleure utilisation d’un accélérateur local. | Homogénéité matérielle, pilotes certifiés, quotas de partition et performances applicatives. |
| Migration dynamique de VM | Déplacement d’une charge avec interruption réduite pour la maintenance ou l’équilibrage. | Débits réseau, CPU compatibles, stockage partagé ou mécanisme de réplication adapté. |
| Clusters de groupe de travail | Scénarios de cluster pouvant réduire la dépendance à Active Directory grâce à une authentification par certificats. | Gestion rigoureuse des certificats, DNS, procédures d’exploitation et limites fonctionnelles du scénario retenu. |
| Network ATC | Déclaration et application plus homogènes de l’intention réseau sur les nœuds d’un cluster. | Cartes réseau, VLAN, RDMA et conception physique conformes aux prérequis. |
| Virtualisation sécurisée | Meilleure isolation de certaines charges sensibles grâce aux protections de l’hyperviseur. | Compatibilité des VM invitées, Secure Boot, vTPM et processus de récupération des clés. |
GPU-P : le bon cas d’usage et le mauvais
GPU-P a du sens si…
- Plusieurs VM ont des besoins graphiques ou d’inférence modérés et variables.
- L’entreprise veut limiter le nombre d’accélérateurs dédiés tout en gardant les charges localement.
- Les applications supportent la virtualisation GPU et ont été testées avec les pilotes retenus.
- Les hôtes du cluster peuvent être standardisés pour préserver la mobilité des charges.
Un GPU dédié reste préférable si…
- Une application exige la totalité de la mémoire et de la puissance d’un accélérateur.
- Les performances doivent être strictement prévisibles, par exemple en calcul intensif continu.
- Les éditeurs applicatifs ne certifient pas l’exécution sur GPU partitionné.
- Le cluster mélange des matériels disparates ou ne permet pas une migration compatible.
Sécurité : des défauts plus robustes, pas une sécurité automatique
La valeur de Windows Server 2025 tient aussi à une approche plus défensive des services historiques. Les environnements Microsoft restent très ciblés parce qu’ils concentrent identité, fichiers et administration. Le durcissement de SMB, les options modernes de chiffrement et les progrès autour d’Active Directory visent précisément à limiter les chemins de compromission les plus courants.
SMB over QUIC mérite une attention particulière pour l’accès distant à des partages de fichiers. Il encapsule les échanges SMB dans QUIC et les protège par TLS, ce qui évite d’exposer directement le port SMB traditionnel sur Internet. Son intérêt est évident pour une agence ou des collaborateurs nomades, mais il ne dispense ni de l’authentification forte, ni du contrôle des droits NTFS, ni de la journalisation. L’éligibilité exacte peut dépendre de l’édition et du scénario : elle doit être confirmée dans la documentation applicable et les conditions de licence en vigueur.
Côté identité, les améliorations d’Active Directory, dont les comptes de service administrés délégués dans les scénarios compatibles, peuvent réduire la circulation de mots de passe de services permanents. Les protections fondées sur la virtualisation, Credential Guard sur les matériels éligibles, Secure Boot et le vTPM complètent le dispositif. Leur déploiement demande néanmoins une analyse des impacts : agents de sécurité, solutions de sauvegarde, applications anciennes et méthodes d’administration distantes ne réagissent pas tous de la même manière.
Le triptyque qui protège réellement un hôte Hyper-V
- Un hôte dédié : évitez d’y installer des rôles métier inutiles. L’hôte Hyper-V doit rester sobre, administré séparément et journalisé.
- Des sauvegardes restaurables : testez la restauration d’une VM, d’un contrôleur de domaine et de fichiers critiques. Une sauvegarde non testée ne constitue pas une preuve de reprise.
- Un cycle de correctifs maîtrisé : planifiez les mises à jour avec les mécanismes de migration ou de cluster. Les options de hotpatching, lorsqu’elles sont éligibles, réduisent certains redémarrages mais ne suppriment pas la gouvernance des correctifs.
Licensing Windows Server 2025 : comprendre le coût avant le choix d’édition
Le modèle classique reste fondé sur les cœurs physiques du serveur, et non sur les vCPU attribués aux VM. Il faut généralement couvrir tous les cœurs physiques d’un hôte, avec un minimum de 16 cœurs par serveur et de 8 cœurs par processeur. Il convient ensuite de distinguer les droits de virtualisation, les CAL d’accès et les besoins annexes, notamment Remote Desktop Services.
Windows Server Standard
- Adaptée aux hôtes peu virtualisés et aux serveurs physiques.
- Une couverture complète des cœurs ouvre en principe les droits pour jusqu’à deux environnements de système d’exploitation ou VM Windows Server, si l’hôte est dédié à la virtualisation et à sa gestion.
- Pour ajouter des VM Windows Server, il faut empiler de nouvelles couvertures de tous les cœurs physiques.
- Le coût initial peut être plus bas quand la densité de VM reste limitée.
Windows Server Datacenter
- Pensée pour les hôtes fortement virtualisés, les clusters et les datacenters.
- Une couverture complète des cœurs donne des droits de virtualisation Windows Server illimités sur l’hôte concerné.
- Certaines capacités de datacenter logiciel et d’hybride y sont plus pertinentes selon le scénario.
- Le coût initial est supérieur, mais l’équilibre peut basculer rapidement avec la multiplication des VM.
Les CAL Windows Server par utilisateur ou par appareil restent, dans la majorité des cas, nécessaires pour les personnes ou terminaux accédant aux services du serveur. Une CAL RDS s’ajoute pour des usages de bureau à distance ou d’applications publiées. Le multiplexage, par exemple derrière une application web ou un terminal partagé, ne fait pas disparaître automatiquement l’obligation de CAL. Pour des utilisateurs externes, un droit d’accès externe peut, selon le contexte, être une alternative plus adaptée que des CAL individuelles.
Le paiement à l’usage via Azure Arc peut constituer une autre voie dans des scénarios éligibles, notamment lorsqu’il faut absorber une capacité temporaire ou réduire l’achat initial. Il transforme cependant une dépense de licence en coût récurrent et suppose une gestion attentive de l’enregistrement des serveurs, de la connectivité et de la conformité. Les droits exacts évoluent selon les programmes commerciaux, les contrats et les régions : une validation par un partenaire de licences ou par Microsoft est indispensable avant engagement.
Planifier une migration ou un déploiement sans fragiliser la production
Une mise à niveau sur place peut paraître attractive, mais elle n’est pas toujours la meilleure réponse. Pour un hôte Hyper-V critique, installer Windows Server 2025 sur un matériel propre, intégrer progressivement le nouveau nœud au cluster puis déplacer les charges est souvent plus réversible. Cette démarche facilite également le renouvellement firmware, réseau et stockage.
- Cartographier : inventoriez hôtes, cœurs physiques, VM, versions invitées, cartes réseau, GPU, pilotes, stockage, sauvegardes, dépendances Active Directory et contrats de licences.
- Qualifier les charges : classez les VM par criticité, fenêtre de maintenance, exigences de disponibilité et compatibilité applicative. Isolez les logiciels sans support éditeur.
- Monter un pilote : testez une VM métier, une restauration complète, un basculement, une migration dynamique et les performances réseau. Pour GPU-P, mesurez les temps de réponse applicatifs, pas seulement l’usage GPU.
- Concevoir le retour arrière : conservez des sauvegardes vérifiées, documentez les points de restauration et définissez le seuil qui déclenche l’abandon de la migration.
- Déployer par vagues : commencez par les services non critiques, surveillez plusieurs cycles de sauvegarde et de mises à jour, puis basculez les charges prioritaires.
Ordres de grandeur à prévoir
Pour une petite infrastructure, un audit suivi d’un pilote représente souvent quelques jours de travail et un budget de prestations allant de quelques milliers d’euros à davantage selon les dépendances. Un cluster à deux nœuds avec réseau redondé et stockage adapté se chiffre généralement en dizaines de milliers d’euros, hors éventuels accélérateurs GPU et licences applicatives. Dès qu’il faut de la haute disponibilité étendue, des GPU professionnels, de la réplication intersite ou une refonte de la sauvegarde, l’enveloppe peut atteindre plusieurs dizaines de milliers d’euros supplémentaires. Ces montants sont indicatifs : matériel, nombre de cœurs, densité de VM, contrat de licences et niveau de service font varier fortement le total.
