В течение последнего десятилетия Microsoft делала ожидание окончания поддержки версий SQL Server экономически выгодным. При достижении любого из сроков окончания расширенной поддержки — таких как 2008, 2012 или 2014 — всегда был доступен один и тот же выход: переместить рабочую нагрузку на виртуальную машину Azure, и тогда Расширенные обновления безопасности (Extended Security Updates, ESU) предоставлялись бесплатно. Эта договоренность сохраняется и для SQL Server 2014, который поддерживается до июля 2027 года.
Однако в случае с SQL Server 2016 ситуация изменилась. С 15 июля покрытие ESU для производственных рабочих нагрузок стало платным в Azure, как и везде, за исключением узких случаев для непроизводственных экземпляров и пассивных реплик.
Основные выводы
Субсидия на отсрочку была отозвана. В течение трех циклов окончания поддержки Microsoft фактически предоставляла отсрочку бесплатно в Azure, но с SQL Server 2016 это прекратилось. Главное изменение в этом цикле заключается именно в этом, а не в самой дате окончания поддержки.
Теперь отсрочка является решением, которое оплачивается, накапливается и выставляется с обратным отсчетом. Руководство Microsoft по SQL Server указывает, что ESU стоят примерно 75% от стоимости лицензии в год, на срок до июля 2029 года, а позднее оформление счета производится с первого дня. Таким образом, ожидание лишь откладывает выставление счета, но не снижает его стоимость.
Важно понимать, что это график, а не единичное событие. Windows Server 2016 прекращает поддержку в январе 2027 года, а SQL Server 2017 — в октябре 2027 года. Организация, планирующая только вокруг одной даты, игнорирует треть проблемы.
Кроме того, в соответствии с Popia, неподдерживаемое программное обеспечение становится трудно обосновать как разумное. Информационный регулятор уже выявил нарушение раздела 19 из-за устаревших инструментов безопасности, а киберстраховщик Южной Африки требует от заявителей подписать документ о том, что они не используют ПО, которое больше не поддерживается вендором. Это переносит решение из дорожной карты ИТ в реестр рисков.
Выбор, стоящий перед пользователями, шире, чем просто следующая версия. Один из возможных вариантов не имеет крайнего срока по версии движка и не требует покупки ESU. Остальные варианты позволяют приобрести период поддержки и войти в цикл снова.
Достижение версией конца жизненного цикла — это рутинный процесс. Однако тихое прекращение субсидии, делавшей отсрочку доступной, — это нечто иное и то, на что следует обратить внимание. Ранее отсрочка была бесплатной; теперь она ценится деньгами, и счетчик продолжает работать.
Истекшая сделка
Маршрут с бесплатными ESU в Azure никогда не был благотворительностью. Это был коммерческий инструмент, и эффективный. Microsoft использовала его в течение трех последовательных циклов для преобразования давления, связанного с окончанием поддержки, в потребление ресурсов Azure, и многие предприятия в Южной Африке следовали этой логике. Рабочая нагрузка не модернизировалась; она просто переместилась, а обновления безопасности приходили с оплаченной доставкой.
В настоящее время параллельно работают две программы ESU, действующие по противоположным правилам. SQL Server 2014 продолжает получать бесплатные обновления в виртуальной машине Azure до июля 2027 года, в то время как SQL Server 2016 вступил в платный период ESU 15 июля 2026 года.
До следующего июля одна организация получает патчи бесплатно, в то время как соседняя платит почти полную стоимость лицензии за ту же программу, от того же поставщика, в том же месяце. Деталь, которая привлекает внимание организаций, — это обратное выставление счетов. Присоединение после начала срока оплачивается с первого дня этого срока, поэтому компания, потратившая шесть месяцев на принятие решения, не экономит шесть месяцев расходов — она просто получает тот же счет позже.
Покрытие действует три года, до 17 июля 2029 года, и лицензируется на основе виртуальных ядер, выделенных каждой машине, при минимальном пороге в четыре ядра, или через модель физических ядер, если конфигурация хоста это оправдывает. Microsoft откровенна относительно затрат. Ее руководство по окончанию поддержки SQL Server устанавливает ESU примерно на 75% от стоимости локальной лицензии ежегодно и называет этот вариант дорогостоящим, используя собственные слова.
Если рассмотреть весь срок, это в два с четвертью раза дороже, чем стоимость лицензий, потраченных полностью на сохранение текущего положения. Ставка не обязательно должна расти, чтобы нанести ущерб; она просто начисляется каждый год на каждое ядро до тех пор, пока рабочая нагрузка не будет перемещена.
Опубликованный процент все еще не является индивидуальной цифрой организации. То, что она платит, зависит от редакции, количества ядер, программы лицензирования, канала и коммерческих условий, поэтому Microsoft направляет этот вопрос в команду по работе с клиентами или лицензионного партнера. Ставка опубликована, но счет выставляется только тогда, когда кто-то его запрашивает.
Десятилетие финансового обоснования отсрочки было сильным, поскольку отсрочка субсидировалась. Теперь это не так, и, по моему опыту, многие организации еще не представили новую цифру тем, кто должен ее утверждать.
Одна дата, три срока
Большая часть планирования, которую я наблюдаю, строится вокруг одного крайнего срока. На самом деле их три. Операционная система Windows Server 2016, лежащая в основе большого числа этих баз данных, достигает конца поддержки 12 января 2027 года. За ней следует SQL Server 2017 12 октября 2027 года. Компания, решающая только проблему с SQL Server 2016, снова окажется за столом дважды в течение 18 месяцев, каждый раз с меньшим запасом времени для планирования и большей частью бюджета, уже потраченного.
Это структурный момент, и это тот, который чаще всего упускают из виду. Даты окончания поддержки не наступают как события. Они представляют собой график, опубликованный за годы вперед, полностью предсказуемый. Реагирование на них по одному, реактивно, по любой цене, которую устанавливает поставщик в тот день, — самый дорогой способ управления календарем, который вам предоставили заранее.
Мост, а не пункт назначения
Microsoft прямо заявляет, что Расширенные обновления безопасности являются мостом для рабочих нагрузок, которые еще не могут быть перемещены — из-за зависимостей приложений, ограничений тестирования или реальной сложности миграции. Эта формулировка честна и верна. Программа существует, чтобы регулируемое предприятие не было вынуждено совершать небезопасную миграцию из-за даты в списке жизненного цикла.
Но это не стратегия, и арифметическая формула это ясно показывает. Три года покрытия дают право оставаться именно там, где вы находитесь. По истечении этого срока ждет то же самое решение — только бюджет на миграцию был потрачен на то, чтобы не мигрировать, а предприятие стало на три года старше.
Также есть предел тому, что может нести этот мост. Microsoft выпускает SQL Server ESU только для уязвимостей, которые ее Центр реагирования на безопасность оценивает как критические, и прямо заявляет, что у них нет регулярного графика выпуска этих обновлений. Предприятие на ESU — это не поддерживаемое предприятие, которое просто платит больше. Это неподдерживаемое предприятие, получающее подмножество исправлений, без какого-либо графика.
Существует версия этого, которая является обоснованной: это мост с фиксированной стоимостью и сроками, подкрепленный уже финансируемой и действующей программой миграции. Существует версия, которая таковой не является: подписка ESU, продлеваемая каждый год, потому что альтернатива постоянно откладывается. Обе выглядят одинаково в счете. Но они выглядят совершенно по-разному через три года.
Разумные меры
Для южноафриканских организаций существует вторая стоимость, которая никогда не фигурирует в коммерческом предложении на лицензирование. Popia требует принятия соответствующих, разумных технических и организационных мер для защиты личной информации. Этот стандарт не определяется контрольным списком, что и затрудняет оспаривание.
Как только поставщик публично прекращает поддержку безопасности продукта, эксплуатация его в производственной среде с использованием личной информации становится положением, которое необходимо активно защищать — либо покрытием ESU, либо изоляцией, либо контролирующими механизмами, которые демонстрируемо работают. Если оно не защищено ничем, это сложная позиция для отстаивания перед регулятором после инцидента. Доказательства того, что было известно и когда, публикуются на собственном веб-сайте Microsoft.
Информационный регулятор уже рассматривал подобный аргумент. Его уведомление о принуждении в 2023 году против министерства юстиции выявило нарушения раздела 19, основанные на истекших лицензиях на программное обеспечение безопасности — мониторинг, обнаружение вторжений и антивирус, все они просрочены с 2020 года, что привело к отсутствию обновлений определений вирусов, когда произошла атака программ-вымогателей. Когда министерство пропустило срок, установленный регулятором для их продления, Регулятор оштрафовал его на сумму 5 миллионов рандов.
Истекшие лицензии — это не неподдерживаемая версия, но логика применима: инструменты безопасности, которые нельзя поддерживать в актуальном состоянии, по анализу Регулятора, являются проблемой раздела 19. Popia обязывает частную компанию на тех же условиях, что и министерство.
Страховщики пришли к тому же выводу некоторое время назад. В одной коммерческой форме киберстрахования Южной Африки использование программного обеспечения, которое больше не поддерживается вендором, не является вопросом в конце контрольного списка. Оно находится среди минимальных требований безопасности, которые заявитель подписывает для подтверждения, наряду с применением исправлений безопасности в течение трех месяцев после выпуска, и форма прямо служит основанием контракта. Формы Великобритании и Австралии требуют этого прямо.
Оставление цикла — это не проблема с документацией, а проблема с покрытием, обнаруженная в самый неподходящий момент. Это означает, что решение тихо перешло к другим сторонам. Дата окончания поддержки раньше была пунктом дорожной карты ИТ, обсуждаемым в рамках раунда капитального бюджета. Вопрос, определяющий регуляторную защищенность и силу страхового требования, должен находиться в реестре рисков и перед людьми, которые подписывают оба документа. В большинстве организаций, которые я вижу, это все еще решается на три уровня ниже.
Есть еще один момент в этом цикле, который следует четко обозначить. Движок базы данных Azure SQL является вечным. Microsoft называет версию Managed Instance бессерверной в рамках своей политики постоянного обновления: нет даты окончания поддержки версии движка, вокруг которой нужно планировать, и нет программы ESU, которую нужно покупать. Однако оговорка реальна. Новый управляемый экземпляр по умолчанию закрепляется за SQL Server 2022, который работает до основного окончания этой версии в январе 2028 года, прежде чем самостоятельно продвигаться вперед, при этом функции и API все равно выводятся из эксплуатации в опубликованные сроки. Исчезает проект миграции, а не каждый крайний срок.
Обновление на месте до SQL Server 2025 — это разумное и часто правильное решение, поскольку оно обеспечивает долгий, четко определенный период. Но это период, и в конце него организация снова оказывается в этом же разговоре.
Таким образом, выбор стоит выше вопроса о том, какая версия будет следующей. Вопрос в том, хочет ли бизнес иметь повторяющийся, потребляющий капитал цикл крайних сроков в своих книгах на следующие 20 лет, или это момент выйти из него. Это не свободный выбор, и я бы не представил его таковым. Бессерверные платформы переносят затраты с периодических капитальных событий на непрерывную операционную линию, что подходит некоторым балансам и беспокоит другие. Некоторые рабочие нагрузки действительно не могут быть перемещены — из-за лицензионных сложностей, сертификации приложений, задержек, позиций резидентности данных, которые еще не были проработаны. Честный ответ для многих предприятий — смешанный, растянутый на несколько лет.
Но это решение, которое следует принять один раз, намеренно, с пониманием 20-летнего облика. А не то, которое переделывается по умолчанию в конце каждого жизненного цикла продукта, потому что прибыла другая дата поддержки, и что-то нужно было сделать.
Заключительное слово
Я наблюдал три таких цикла вблизи, и меня поражает, насколько последовательно решение об отсрочке принимается на условиях последнего цикла. Предположение о том, что переход в Azure сохранит обновления безопасности бесплатными, было верным в течение десятилетия. Это было правдой прямо до середины прошлого месяца.
За 20 лет работы Ascent с данными в Южной Африке я ожидаю, что этот шаблон повторится. Много организаций обнаружат это изменение в счете, а не на сессии планирования. Windows Server 2016 достигнет собственного конца поддержки в январе. К тому времени каждая организация, все еще использующая среду эпохи 2016 года, ответила на этот вопрос, независимо от того, садилась она за него или нет. Некоторые приняли решение. Большинство позволили дате решить за них.
