AWS Directory Service でマネージド Active Directory を構築する

前提条件

1. リージョン: ap-northeast-1（東京）
2. IAM ユーザーまたはロールに Directory Service、EC2 の操作権限があること
3. 以下のリソースが作成済みであること

作成するリソース一覧

ステップ1: Directory Service コンソールへの移動

1. AWS マネジメントコンソールにログインし、リージョンが ap-northeast-1（東京）であることを確認します
2. 上部の検索バーに Directory Service と入力し、表示された「Directory Service」を選択します

ステップ2: ディレクトリの作成

1. 「ディレクトリのセットアップ」をクリックします
2. 「ディレクトリタイプの選択」で「AWS Managed Microsoft AD」を選択します。選択肢は「AWS Managed Microsoft AD」と「AD Connector」の 2 つです
3. 下の欄は、デフォルトの「AWS managed AD ドメインを新規作成」のまま「次へ」をクリックします

1. 「ディレクトリ情報の入力」で以下を設定します
   • エディション: 「Standard Edition」を選択します（各エディションのタイルに、料金の目安と対応するオブジェクト数が表示されます）
   • ディレクトリの DNS 名: corp.example.com（実際の環境に合わせて変更）
   • ディレクトリの NetBIOS 名（オプション）: CORP（自動では入らないので入力します）
   • ディレクトリの説明（オプション）: 任意（例: Basic hands-on directory）
   • Admin パスワード と パスワードを確認: パスワードポリシーを満たすパスワードを入力します
   • Admin ユーザーはディレクトリの管理者アカウントです。このパスワードは安全に保管してください
2. 「次へ」をクリックします

1. 「VPC とサブネットの選択」で以下を設定します
   • VPC: ディレクトリを作成する VPC を選択します
   • サブネット: 1 つ目と 2 つ目の欄で、それぞれ ap-northeast-1a と ap-northeast-1c のプライベートサブネットを選択します
   • ドメインコントローラーが各サブネットに 1 台ずつ配置されます
2. 「次へ」をクリックします

1. 確認画面で設定内容（料金の目安も表示されます）を確認し、「ディレクトリの作成」をクリックします
2. ディレクトリ一覧に戻り、「20～45 分かかります」と表示されます。今回は 30 分ほどかかりました

ステップ3: ディレクトリのステータス確認

1. ディレクトリ一覧画面でステータスを確認します
   • 作成中: ドメインコントローラーを準備している状態
   • アクティブ: 作成完了、利用可能
2. ステータスが「アクティブ」に変わるまで待ちます

ステップ4: ディレクトリの詳細確認

1. ディレクトリ ID をクリックして詳細画面を開きます
2. 「ディレクトリの詳細」で以下の情報を確認できます
   • ディレクトリタイプ・エディション: Microsoft AD、Standard
   • オペレーティングシステムのバージョン: Windows Server 2019
   • ディレクトリの DNS 名・NetBIOS 名: corp.example.com、CORP
   • ディレクトリ ID: ディレクトリの一意の識別子
3. 詳細画面の下には、ユーザー、グループ、ネットワークとセキュリティ、スケールと共有、アプリケーション管理、メンテナンスのタブがあります

ステップ5: ネットワークとセキュリティの確認

1. ディレクトリ詳細画面の「ネットワークとセキュリティ」タブを選択します
2. 「ネットワーキングの詳細」で以下を確認できます
   • ステータス: アクティブ
   • DNS アドレス: ドメインコントローラーの DNS サーバーアドレス（2 つ表示されます）
   • VPC / サブネット: ドメインコントローラーが配置された VPC とサブネット
   • セキュリティグループ: ディレクトリに自動作成されたセキュリティグループ

1. 同じタブの下のほうには、信頼関係、クライアント側の LDAPS（今は「無効」）、多要素認証（RADIUS）などの設定もまとまっています

ステップ6: AWS サービスとの統合状況の確認

1. ディレクトリ詳細画面の「アプリケーション管理」タブを選択します
2. 「AWS アプリおよびサービス」に、このディレクトリと統合できる AWS サービスの一覧が表示されます（今はすべて「無効」です）
   • Amazon RDS（SQL Server・Oracle・Aurora など）
   • Amazon WorkSpaces
   • Amazon FSx
   • IAM Identity Center
   • AWS マネジメントコンソール
   • など
3. 各サービスの統合を有効にすることで、AD ユーザーでそれらのサービスにアクセスできるようになります

ステップ7: EC2 インスタンスのドメイン参加（概念の確認）

作成した Managed Microsoft AD に EC2 インスタンスをドメイン参加させることで、AD ユーザーでのログインや、グループポリシーの適用が可能になります。ここでは手順の概要を確認します。

ドメイン参加に必要な準備は以下のとおりです。

1. EC2 インスタンスの DNS 設定をディレクトリの DNS アドレスに変更する（VPC の DHCP オプションセットで設定）
2. EC2 インスタンスがドメインコントローラーのサブネットと通信できること
3. SSM（Systems Manager）のシームレスドメイン参加機能を使用する場合は、IAM ロールに AmazonSSMManagedInstanceCore と AmazonSSMDirectoryServiceAccess ポリシーをアタッチする

EC2 起動時に「ディレクトリ」セクションでドメインを指定することで、起動と同時にドメイン参加を自動化することも可能です。