資料庫、作業系統伺服器授權的問題

我司近日有計畫導入WorkFlow軟體。
該軟體走.NET架構、是個網站，
對方給我們的報價單上面，有包含
1. WorkFlow 的人版數
2. M$SQL 2008 R2+授權數(跟著人版數走)
3. Windows Server 2008 R2 標準版 +授權數(跟著人版數走)
4. Oracle DB 12C +授權數 (跟著人版數走)
這份報價第一項，我覺得沒問題。

但第二、三、四項，我認為問題很大啊！都跟著人版數走，那我今天做一個網站日流量有1000人，
我豈不是要買1000人的授權，微軟真的會這樣定義的嗎?

雖然，暗地裡，我知道人版數就算不足，系統照樣能跑，但我還是想要知道這個合法性揪竟是在哪？

我自己的觀念是這樣的，想來版上跟大家確認是否正確？
1. OS的授權，只有以下行為需要增加授權，不然買5人便已足堪使用：
1.1：遠端桌面連線連入人數 > 2
1.2：IIS安全性設定有多網站，且每個網站使用不同的安全性帳號。
1.3：有其他電腦要向這個OS取得AD授權
2. DB的授權，只有以下行為需要增加授權，不然買3人標準版便已足堪使用：
2.1：資料庫管理員 > 2人 (實際透過管理工具連入，進行資料庫管理的帳號)

拜託各位大大幫我解惑一下吧。謝謝。

另外，最近炒得火紅的BSA查授權的事件，最後真的授權不足，其實只要補授權就好了，對吧?
會有額外的懲罰嗎?因為，我覺得授權這種東西考量在網站的使用上，真的就變成自由心證了。

如果真的不行，我們可能會考慮CPU授權的方式，我只是覺得人版數的算法如果是那樣的話，
那所有的網站程式開發不就變得完全不用考慮人版數授權了，直接買CPU授權比較划算？