Windows Server 2022 Datacenter: come risolvere “Product key blocked” 0xC004C003 dopo upgrade da Evaluation

Hai convertito una Evaluation in Windows Server 2022 Datacenter con DISM ma l’attivazione fallisce con “Product key blocked” (0xC004C003)? In questa guida trovi un percorso pratico e completo per capire la causa e ripristinare l’attivazione, che tu usi MAK, KMS, OEM o AVMA.

Indice

Problema in breve

Upgrade da Evaluation a Datacenter riuscito, ma il server non si attiva.
Attivazione da Impostazioni o telefono rifiutata (ID o codice non valido).
slmgr /ato restituisce 0xC004C003 – Product key blocked.
La chiave si inserisce senza errori con slmgr /ipk: il problema è nella fase di attivazione, non nella sintassi.

Perché succede

L’errore “Product key blocked” indica che il backend di attivazione rifiuta la convalida della chiave. Nella pratica, le cause più diffuse sono:

Chiave non genuina o revocata (furto, fuga, reso, disallineamento contrattuale).
Mismatching tra edizione o canale (Retail/MAK, Volume/KMS, OEM, AVMA, Azure Edition) e il sistema installato.
Store di licenza corrotto dopo la conversione da Evaluation o dopo snapshot/restore.
Prerequisiti di rete non soddisfatti (KMS non raggiungibile, DNS SRV assente, proxy che intercetta TLS).
Limite di attivazioni superato (MAK con contatore esaurito).

Sequenza di risoluzione consigliata

Segui i passaggi nell’ordine. In molti casi il problema si chiude entro i primi step.

Passo	Scopo	Dettagli operativi
Verificare la genuinità del codice	Escludere chiavi pirata o revocate	Controlla la fonte: contratto Microsoft (VLSC), CSP, OEM o rivenditore autorizzato. Se hai dubbi, chiedi verifica o sostituzione al fornitore.
Confermare corrispondenza edizione e canale	Allineare media/upgrade e chiave	Assicurati che il sistema sia davvero Windows Server 2022 Datacenter (non Standard, non Azure Edition) e che la chiave sia del medesimo canale (MAK/KMS/OEM/AVMA).
Rimuovere e reinserire la chiave	Pulire metadati di licenza	`slmgr /upk slmgr /ipk XXXXX-XXXXX-XXXXX-XXXXX-XXXXX slmgr /ato`
Installare aggiornamenti	Correggere bug del motore di attivazione	Esegui Windows Update e riavvia. Facoltativo ma utile: `DISM /Online /Cleanup-Image /RestoreHealth` e poi `sfc /scannow`.
Controllare i log di licenza	Individuare la causa precisa	`slmgr /dli slmgr /dlv` Leggi SKU, canale, stato, Activation ID, errore preciso. Eventi in Registri applicazioni e servizi > Microsoft > Windows > Security-SPP.
Verificare rete/KMS se applicabile	Garantire prerequisiti di attivazione	Controlla DNS `vlmcs.tcp`, porta TCP 1688, raggiungibilità del KMS e soglia di conteggio server (≥5).
Contattare il supporto Microsoft	Sblocco o sostituzione chiave	Prepara fattura, ID installazione, output di `slmgr /dlv` e schermate di errore.

Verificare la genuinità della chiave

Una chiave può risultare “bloccata” se è stata sottratta, pubblicata online o associata a contratti cessati. Verifica sempre:

Origine: Volume Licensing, CSP, OEM, Retail. Diffida di marketplace non autorizzati.
Documenti: fattura, contratto, e-mail di consegna chiave.
Correlazione: la chiave deve riferirsi a Windows Server 2022 Datacenter. Una chiave Standard o 2019 non attiverà Datacenter 2022.

Se la chiave è MAK e hai reinstallato spesso, il contatore potrebbe essere a zero. Il fornitore può chiedere a Microsoft un reset del pool.

Confermare corrispondenza di edizione e canale

Prima di insistere con l’attivazione, accertati che edizione e canale siano giusti.

Controllare l’edizione installata

DISM /online /Get-CurrentEdition
DISM /online /Get-TargetEditions

Il risultato deve riportare ServerDatacenter (o ServerDatacenterCore se installazione Core). Se leggi ServerStandard o ServerDatacenterAzure, una chiave Datacenter Retail/MAK non funzionerà.

Capire il canale della chiave

Canale	Come si riconosce	Note operative
Retail / MAK	Chiave alfanumerica singola; attiva direttamente verso Microsoft	Ha un numero finito di attivazioni. Richiede accesso a Internet senza proxy invasivi.
Volume / KMS	Chiave installata sul client è la KMS client setup key; l’attivazione avviene contro un host KMS interno	Serve DNS SRV `vlmcs.tcp` o configurazione manuale `slmgr /skms`. La soglia server è 5.
OEM	Chiave digitale a bordo del BIOS/UEFI	Valida solo sull’hardware di quel vendor; eventuali sostituzioni hardware possono richiedere assistenza OEM.
AVMA	Chiave speciale per VM su host Datacenter attivato	La VM si attiva automaticamente se l’host è correttamente licenziato.

Rimuovere e reinserire la chiave

Se la store di licenza è incoerente, una pulizia rapida può sbloccare l’attivazione.

slmgr /upk
slmgr /ipk XXXXX-XXXXX-XXXXX-XXXXX-XXXXX
slmgr /ato

Dopo /upk attendi qualche secondo; in caso di errore riavvia il servizio Software Protection con net stop sppsvc e net start sppsvc.

Installare aggiornamenti e riparare i componenti

Alcuni problemi nascono dal passaggio Evaluation → Retail/Volume su build non aggiornate.

Esegui Windows Update fino a nessun aggiornamento pendente.
Ripara l’immagine: DISM /Online /Cleanup-Image /RestoreHealth sfc /scannow
Riavvia e riprova l’attivazione con slmgr /ato.

Controllare log e stato di licenza

I comandi seguenti forniscono lo stato corrente e messaggi puntuali:

slmgr /dli   &rem riepilogo licenza
slmgr /dlv   &rem dettagli avanzati

Verifica i campi:

Edition: deve corrispondere a Datacenter.
Channel: Retail/MAK, Volume/KMS, OEM, AVMA.
License Status: Unlicensed, Notification, Licensed.
Error Code: utile per la tabella in fondo.

Controlla anche il Visualizzatore eventi: Applicazioni e servizi > Microsoft > Windows > Security-SPP e, se usi KMS, gli eventi sul server KMS (Key Management Service).

Verificare rete e KMS

Per chi usa il canale Volume/KMS, la diagnostica di rete è fondamentale.

Controllo DNS e porta

nslookup -type=SRV vlmcs.tcp
Test-NetConnection -ComputerName kms.dominio.local -Port 1688
alternativa in cmd
telnet kms.dominio.local 1688

Se la SRV manca, imposta manualmente il KMS sul client:

slmgr /skms kms.dominio.local:1688
slmgr /ato

Verifica che eventuali firewall e proxy non blocchino o ispezionino il traffico. I proxy che intercettano TLS verso i server di attivazione possono causare rifiuti con chiavi MAK.

Contatore KMS

Il KMS attiva i server solo dopo aver raggiunto un conteggio minimo di 5 client idonei. Prima di quella soglia, i tentativi falliscono con errore tipico di servizio non disponibile.

Alternative per ambienti virtuali

Se il carico gira su host Datacenter correttamente licenziati, valuta l’uso di AVMA per le VM: installi la chiave AVMA nella VM e l’attivazione avviene automaticamente contro l’host. È ideale in contesti isolati o senza accesso a Internet. Ricorda che l’host deve essere attivato e che le chiavi AVMA variano per edizione della VM.

Interazione con il supporto Microsoft

Quando l’errore è realmente un blocco lato server e non un mismatch, l’unica via è l’assistenza:

Prepara: chiave, Installation ID (se richiesto), output di slmgr /dlv, prova d’acquisto, ragioni delle reinstallazioni.
Descrivi il percorso: era una Evaluation? C’è stato un restore di snapshot? Hai cambiato hardware?
Richiedi: sblocco della chiave, sostituzione o reset del contatore MAK.

Conversione corretta da Evaluation a Datacenter

Il percorso di upgrade influenza l’attivazione. Ecco la sequenza consigliata quando parti da Evaluation:

Accertati che l’edizione target sia supportata: DISM /online /Get-TargetEditions
Esegui la conversione indicando l’edizione giusta (Desktop o Core) e una chiave valida per il tuo canale: DISM /online /Set-Edition:ServerDatacenter /ProductKey:XXXXX-XXXXX-XXXXX-XXXXX-XXXXX /AcceptEula
Riavvia quando richiesto e completa slmgr /ato.

Attenzione: “Datacenter: Azure Edition” non è destinata a ambienti generici; le chiavi Retail/MAK non la attivano. Se l’hai impostata per errore, ripeti la conversione verso ServerDatacenter.

Soluzioni avanzate quando tutto sembra a posto

Ripristino dello store di licenza

Usa questa opzione solo se hai un backup o in ambienti controllati.

Apri un prompt amministrativo.
Ferma il servizio di protezione software: net stop sppsvc
Rinomina il database di attivazione (permette al sistema di rigenerarlo al riavvio del servizio). I percorsi tipici sono: ren C:\Windows\System32\spp\store\2.0\tokens.dat tokens.dat.bak (Se il file è in uso, riavvia in modalità provvisoria o da WinRE.)
Riavvia il servizio e reinserisci la chiave: net start sppsvc slmgr /ipk XXXXX-XXXXX-XXXXX-XXXXX-XXXXX slmgr /ato

Rearm dell’attivazione

In casi rari, un rearm può sbloccare la pipeline (il contatore è limitato):

slmgr /rearm
shutdown /r /t 0

Dopo il riavvio, inserisci nuovamente la chiave e attiva.

Integrità dei componenti di sistema

Se l’upgrade ha ereditato file corrotti, l’attivazione può fallire nonostante la chiave sia valida. Esegui:

DISM /Online /Cleanup-Image /RestoreHealth
sfc /scannow

Codici errore ricorrenti e come leggerli

Codice	Significato	Azioni consigliate
0xC004C003	Product key blocked	Verifica genuinità, canale ed edizione. Se tutto è coerente, contatta Microsoft per sblocco o sostituzione.
0xC004C008	Limite attivazioni MAK superato	Chiedi al fornitore un reset del pool o valuta KMS/AVMA per ridurre i consumi.
0xC004F050	Chiave non valida per l’edizione	Controlla `DISM /online /Get-CurrentEdition`; allinea chiave e sistema o riconverti l’edizione.
0xC004F074	KMS non raggiungibile o soglia non raggiunta	Verifica SRV `vlmcs.tcp`, porta 1688, raggiungibilità e conteggio ≥5.
0xC004E016	Tipo di licenza non coerente	Stai tentando una Retail/MAK su canale KMS o viceversa. Allinea canale o reinstalla la chiave corretta.
0x8007232B	Nome DNS per l’attivazione non trovato	Tipico dei client KMS senza SRV. Imposta `slmgr /skms` o correggi DNS.

Checklist prima di aprire un ticket

Screenshot di Impostazioni > Sistema > Informazioni o DISM /online /Get-CurrentEdition.
Output completo di slmgr /dlv e slmgr /dli (senza oscurare campi chiave per l’assistenza).
Elenco delle modifiche recenti: upgrade, restore da snapshot, cambio hardware, migrazione hypervisor.
Risultati dei test di rete (KMS): SRV presente, porta 1688 raggiungibile, host KMS identificato.
Prova d’acquisto e riferimenti contrattuali (VLSC/CSP/OEM).

Domande frequenti

È normale che `slmgr /ipk` accetti la chiave ma `/ato` la rifiuti?

Sì. /ipk valida solo la forma e la compatibilità di base con l’edizione; /ato contatta il servizio di attivazione e può fallire per blocchi, limiti o mismatch di canale.

Posso passare da KMS a MAK senza reinstallare?

Sì. Rimuovi la chiave attuale, inserisci la chiave MAK con slmgr /ipk e attiva con /ato. Per tornare a KMS, reinstalla la KMS client setup key e configura slmgr /skms o il DNS SRV.

È possibile che l’edizione “Azure Edition” impedisca l’attivazione Retail?

Sì. Quell’edizione è destinata a scenari specifici e non si attiva con chiavi Retail/MAK tradizionali. Converti a ServerDatacenter standard.

Il problema è iniziato dopo un ripristino da snapshot

Probabile incoerenza dello store di licenza. Prova la sequenza: slmgr /upk → net stop sppsvc → rinomina tokens.dat → net start sppsvc → slmgr /ipk → slmgr /ato.

La chiave OEM su hardware diverso non si attiva

È atteso: le chiavi OEM sono legate al dispositivo del produttore. Contatta l’OEM o utilizza una chiave Volume/Retail idonea per l’hardware corrente.

Strategia di prevenzione per il futuro

Conserva traccia delle attivazioni MAK e preferisci KMS/AVMA nei datacenter per ridurre l’attrito.
Standardizza l’immagine di base su ServerDatacenter e automatizza il post-setup: aggiornamenti, DISM/SFC, attivazione.
Documenta il processo di conversione da Evaluation; verifica l’edizione subito dopo l’upgrade con DISM /Get-CurrentEdition.
Evita proxy che intercettano TLS per i server destinati all’attivazione MAK.
Controlla regolarmente il DNS SRV vlmcs.tcp e lo stato del ruolo Volume Activation Services sul KMS.

Conclusione

Nella maggior parte dei casi, l’errore 0xC004C003 su Windows Server 2022 Datacenter dopo un upgrade da Evaluation si risolve verificando la genuinità della chiave, allineando edizione e canale, ripulendo lo store di licenza e installando gli aggiornamenti. Se persiste, i log di slmgr /dlv e gli eventi Security-SPP ti daranno la prova necessaria per ottenere, tramite il supporto Microsoft, lo sblocco o la sostituzione della chiave. Seguendo il percorso qui sopra, identificherai con precisione la radice del problema (chiave revocata, contatore MAK, mismatch di edizione o prerequisiti KMS) e riporterai il server in stato Licensed con il minimo downtime.