Não podemos fazer uma chamada definitiva. Ninguém, a não ser a Microsoft, pode fazer isso, se você decidir procurar a resposta. Dito isso, é uma seção relevante do EULA que pode ajudá-lo a se decidir.
A partir de 3.a.i:
You must acquire and assign the appropriate CAL to each device or user that accesses your instances of the server software directly or indirectly. A hardware partition or blade is considered to be a separate device. - You do not need CALs for any user or device that accesses your instances of the server software only through the Internet without being authenticated or otherwise individually identified by the server software or through any other means.
O EULA é intencionalmente escrito para ser amplo e não específico. Isso dá à Microsoft mais espaço para discutir e interpretar. Se você estiver em dúvida, compre CALs.
Editar:
Zow. Você acabou de editar sua pergunta e adicionou a mesma coisa que eu disse aqui. > sorriso <
Pessoalmente, se houvesse alguma autenticação de qualquer tipo como parte do aplicativo sendo hospedado pelo servidor, eu presumo que as CALs são necessárias.