【AWSサービス 基礎編】AWS Directory Service でマネージド Active Directory を構築する

概要

企業の IT 環境では、Active Directory（AD）を使ったユーザー管理やリソースへのアクセス制御が広く採用されています。オンプレミスで運用してきた AD をクラウドに移行する場合や、クラウド上で新たに AD 環境を構築する場合、サーバーの構築・パッチ適用・バックアップなどの運用負荷が課題になります。

AWS Directory Service は、AWS クラウド上でマネージドなディレクトリサービスを提供します。中でも AWS Managed Microsoft AD は、実際の Microsoft Active Directory をフルマネージドで利用でき、ドメインコントローラーの構築・運用を AWS に委任できます。Amazon RDS、Amazon WorkSpaces、AWS IAM Identity Center などの AWS サービスとの統合も可能です。

本記事では、AWS Directory Service の基本概念を理解し、AWS Managed Microsoft AD の作成とコンソールでの確認を体験します。

この記事のメリット

• AWS Directory Service で提供されるディレクトリタイプの違いを理解できる
• AWS Managed Microsoft AD の構築手順を把握できる
• AD と AWS サービスの統合パターンを理解できる
• オンプレミス AD との連携方法（信頼関係・AD Connector）を把握できる
• マネージド AD を利用するメリットと考慮事項を理解できる

技術解説

• クラウド上での Active Directory 環境の構築
• オンプレミス AD と AWS 環境の連携
• Amazon WorkSpaces などの AWS サービスへの AD 認証の適用
• AWS マネジメントコンソールへの AD ユーザーでのサインイン

ディレクトリタイプ	概要	ユースケース
AWS Managed Microsoft AD	フルマネージドの Microsoft AD（Standard / Enterprise のほか、既存のセルフマネージド AD を AWS に広げる Hybrid Edition もある）	AD 機能がフルに必要な環境、AWS サービスとの統合
AD Connector	オンプレミス AD へのプロキシ	既存のオンプレミス AD をそのまま利用したい場合
Simple AD	Samba ベースの軽量ディレクトリ	小規模で基本的な AD 機能のみ必要な場合（新規の利用受付は終了）

• フルマネージド: ドメインコントローラーの構築、パッチ適用、バックアップ、レプリケーションを AWS が自動管理
• 高可用性: 複数の AZ にドメインコントローラーを自動配置
• 信頼関係: オンプレミスの AD と信頼関係を構築し、シングルサインオンを実現可能
• グループポリシー: 標準の Active Directory グループポリシーを使用可能
• スキーマ拡張: AD スキーマの拡張が可能
• LDAPS: LDAP over SSL/TLS をサポート

項目	Standard Edition	Enterprise Edition
規模の目安	従業員 5,000 名まで（ディレクトリオブジェクト約 30,000）	ディレクトリオブジェクト約 500,000
ドメインコントローラー	2 台（デフォルト）	2 台（デフォルト）
ドメインコントローラーの最大数	ディレクトリあたり 20 台（既定のクォータ）	ディレクトリあたり 20 台（既定のクォータ）
マルチリージョンレプリケーション	非対応	対応
信頼関係	サポート	サポート
スキーマ拡張	サポート	サポート
料金	低い	高い

• Amazon RDS: SQL Server や Oracle の Windows 認証
• Amazon WorkSpaces: 仮想デスクトップへの AD ユーザー認証
• AWS IAM Identity Center: AD ユーザーによる AWS マネジメントコンソールへのサインイン
• Amazon EC2: Windows インスタンスのドメイン参加
• Amazon FSx for Windows File Server: AD 統合のファイルサーバー

連携方法	概要	前提条件
信頼関係（Trust）	Managed Microsoft AD とオンプレミス AD 間で信頼関係を構築	VPN または Direct Connect での接続
AD Connector	オンプレミス AD へのリクエストをプロキシ転送	VPN または Direct Connect での接続

実践

前提条件

• リージョン: ap-northeast-1（東京）
• IAM ユーザーまたはロールに Directory Service、EC2 の操作権限があること
• 以下のリソースが作成済みであること

リソース種別	リソース名	用途
VPC	ds-lab-vpc	ディレクトリを作成する VPC
サブネット	ap-northeast-1a と ap-northeast-1c のプライベートサブネット	ドメインコントローラーを 1 台ずつ配置する

作成するリソース一覧

リソース種別	リソース名	用途
AWS Managed Microsoft AD	corp.example.com	マネージドドメインコントローラー

ステップ1: Directory Service コンソールへの移動

• AWS マネジメントコンソールにログインし、リージョンが ap-northeast-1（東京）であることを確認します
• 上部の検索バーに Directory Service と入力し、表示された「Directory Service」を選択します

ステップ2: ディレクトリの作成

• 「ディレクトリのセットアップ」をクリックします
• 「ディレクトリタイプの選択」で「AWS Managed Microsoft AD」を選択します。選択肢は「AWS Managed Microsoft AD」と「AD Connector」の 2 つです
• 下の欄は、デフォルトの「AWS managed AD ドメインを新規作成」のまま「次へ」をクリックします

• 「ディレクトリ情報の入力」で以下を設定します
• エディション: 「Standard Edition」を選択します（各エディションのタイルに、料金の目安と対応するオブジェクト数が表示されます）
• ディレクトリの DNS 名: corp.example.com（実際の環境に合わせて変更）
• ディレクトリの NetBIOS 名（オプション）: CORP（自動では入らないので入力します）
• ディレクトリの説明（オプション）: 任意（例: Basic hands-on directory）
• Admin パスワード と パスワードを確認: パスワードポリシーを満たすパスワードを入力します
• Admin ユーザーはディレクトリの管理者アカウントです。このパスワードは安全に保管してください
• 「次へ」をクリックします

• 「VPC とサブネットの選択」で以下を設定します
• VPC: ディレクトリを作成する VPC を選択します
• サブネット: 1 つ目と 2 つ目の欄で、それぞれ ap-northeast-1a と ap-northeast-1c のプライベートサブネットを選択します
• ドメインコントローラーが各サブネットに 1 台ずつ配置されます
• 「次へ」をクリックします

• 確認画面で設定内容（料金の目安も表示されます）を確認し、「ディレクトリの作成」をクリックします
• ディレクトリ一覧に戻り、「20～45 分かかります」と表示されます。今回は 30 分ほどかかりました

ステップ3: ディレクトリのステータス確認

• ディレクトリ一覧画面でステータスを確認します
• 作成中: ドメインコントローラーを準備している状態
• アクティブ: 作成完了、利用可能
• ステータスが「アクティブ」に変わるまで待ちます

ステップ4: ディレクトリの詳細確認

• ディレクトリ ID をクリックして詳細画面を開きます
• 「ディレクトリの詳細」で以下の情報を確認できます
• ディレクトリタイプ・エディション: Microsoft AD、Standard
• オペレーティングシステムのバージョン: Windows Server 2019
• ディレクトリの DNS 名・NetBIOS 名: corp.example.com、CORP
• ディレクトリ ID: ディレクトリの一意の識別子
• 詳細画面の下には、ユーザー、グループ、ネットワークとセキュリティ、スケールと共有、アプリケーション管理、メンテナンスのタブがあります

ステップ5: ネットワークとセキュリティの確認

• ディレクトリ詳細画面の「ネットワークとセキュリティ」タブを選択します
• 「ネットワーキングの詳細」で以下を確認できます
• ステータス: アクティブ
• DNS アドレス: ドメインコントローラーの DNS サーバーアドレス（2 つ表示されます）
• VPC / サブネット: ドメインコントローラーが配置された VPC とサブネット
• セキュリティグループ: ディレクトリに自動作成されたセキュリティグループ

• 同じタブの下のほうには、信頼関係、クライアント側の LDAPS（今は「無効」）、多要素認証（RADIUS）などの設定もまとまっています

ステップ6: AWS サービスとの統合状況の確認

• ディレクトリ詳細画面の「アプリケーション管理」タブを選択します
• 「AWS アプリおよびサービス」に、このディレクトリと統合できる AWS サービスの一覧が表示されます（今はすべて「無効」です）
• Amazon RDS（SQL Server・Oracle・Aurora など）
• Amazon WorkSpaces
• Amazon FSx
• IAM Identity Center
• AWS マネジメントコンソール
• など
• 各サービスの統合を有効にすることで、AD ユーザーでそれらのサービスにアクセスできるようになります

ステップ7: EC2 インスタンスのドメイン参加（概念の確認）

作成した Managed Microsoft AD に EC2 インスタンスをドメイン参加させることで、AD ユーザーでのログインや、グループポリシーの適用が可能になります。ここでは手順の概要を確認します。

ドメイン参加に必要な準備は以下のとおりです。

• EC2 インスタンスの DNS 設定をディレクトリの DNS アドレスに変更する（VPC の DHCP オプションセットで設定）
• EC2 インスタンスがドメインコントローラーのサブネットと通信できること
• SSM（Systems Manager）のシームレスドメイン参加機能を使用する場合は、IAM ロールに AmazonSSMManagedInstanceCore と AmazonSSMDirectoryServiceAccess ポリシーをアタッチする

EC2 起動時に「ディレクトリ」セクションでドメインを指定することで、起動と同時にドメイン参加を自動化することも可能です。

まとめ

• AWS Directory Service は、AWS クラウド上でマネージドなディレクトリサービスを提供するサービスである
• AWS Managed Microsoft AD、AD Connector、Simple AD の 3 つのディレクトリタイプがあり、要件に応じて選択する（Simple AD は新規の利用受付を終了している）
• AWS Managed Microsoft AD は複数の AZ にドメインコントローラーを自動配置し、高可用性を実現する
• Amazon RDS、WorkSpaces、IAM Identity Center など多くの AWS サービスと統合できる
• オンプレミス AD との連携は、信頼関係の構築または AD Connector による中継で実現できる
• EC2 インスタンスのドメイン参加により、AD ユーザーでのログインやグループポリシーの適用が可能になる
• Standard Edition と Enterprise Edition があり、小〜中規模の環境では Standard Edition で対応できる。マルチリージョンレプリケーションは Enterprise Edition だけ

参照先

• AWS Directory Service とは
• AWS Managed Microsoft AD
• AWS Managed Microsoft AD の作成
• EC2 インスタンスを AWS Managed Microsoft AD ドメインに参加させる
• AD Connector
• AWS Managed Microsoft AD クォータ
• AWS Managed Microsoft AD のマルチリージョンレプリケーションを設定する