Active Directory 連携 - AWS Directory Service でオンプレミス ID 基盤をクラウドに拡張する
AWS Directory Service を使った Active Directory のクラウド統合を解説。AWS Managed Microsoft AD、AD Connector、Simple AD の使い分けと、WorkSpaces ・ RDS ・ FSx との連携を紹介します。
Active Directory のクラウド統合の課題
多くの企業がオンプレミスで Microsoft Active Directory (AD) を運用しており、ユーザー認証、グループポリシー、ファイルサーバーのアクセス制御など、IT インフラの中核を担っています。クラウド移行に際して、AD に依存するアプリケーション (Windows ベースの業務アプリ、SQL Server、ファイルサーバー) をどう扱うかが課題になります。AWS Directory Service は 3 つのディレクトリタイプを提供し、ユースケースに応じた AD のクラウド統合を実現します。AWS Managed Microsoft AD は完全な Microsoft AD をクラウドで提供し、オンプレミス AD との信頼関係 (Trust) を構築できます。AD Connector はオンプレミス AD へのプロキシで、クラウド側にデータを持ちません。Simple AD は Samba 4 ベースの軽量ディレクトリで、基本的な LDAP 機能のみを提供します。
3 つのディレクトリタイプの使い分け
AWS Managed Microsoft AD は、クラウド上にスタンドアロンの AD を構築する場合、またはオンプレミス AD との信頼関係が必要な場合に選択します。グループポリシー、LDAP、Kerberos、NTLM 認証をフルサポートし、AD 依存のアプリケーションをそのまま動作させられます。エディションは Standard Edition (最大 30,000 オブジェクト)、Enterprise Edition (最大 500,000 オブジェクト)、Hybrid Edition (最大 500,000 オブジェクト) の 3 種類です (2026 年 8 月時点)。Hybrid Edition は新しいドメインを作るのではなく、既存の自己管理 AD ドメインに AWS 管理のドメインコントローラーを参加させる形態で、信頼関係を構築せずにオンプレミスの AD を AWS へ拡張できます。マルチ AZ でドメインコントローラーが自動的に冗長化され、パッチ適用やスナップショットも AWS が管理します。AD Connector は、オンプレミスの既存 AD をそのまま使い続けたい場合に選択します。AWS サービス (WorkSpaces、IAM Identity Center など) からの認証リクエストをオンプレミス AD に転送するプロキシとして動作します。クラウド側にユーザーデータを保持しないため、データ主権の要件がある場合に適しています。Small (最大 500 ユーザー、0.08 USD/時) と Large (最大 5,000 ユーザー、0.24 USD/時) の 2 サイズがあります (2026 年 8 月時点・東京リージョン)。Simple AD は AD の基本機能 (ユーザー管理、グループ管理、LDAP 認証) のみが必要な小規模環境で使われてきましたが、2026 年 7 月 30 日に新規顧客向けの受付を終了しています (既存環境は継続利用可・2026 年 8 月時点)。グループポリシーや信頼関係は非サポートですが、最も低コスト (Small: 0.08 USD/時・東京リージョン) で利用できます。
AWS サービスとの統合
Directory Service の主な価値は、 AD 認証を必要とする AWS サービスとのネイティブ統合にあります。 Amazon WorkSpaces (仮想デスクトップ) は AD のユーザーアカウントでログインし、グループポリシーでデスクトップ環境を制御できます。 Amazon FSx for Windows File Server は AD のアクセス制御リスト (ACL) でファイルレベルの権限管理を行います。 RDS for SQL Server は Windows 認証 (Kerberos) をサポートし、 AD のユーザーアカウントで SQL Server にログインできます。 Amazon Connect (コンタクトセンター) は AD のユーザーでエージェントを管理できます。 IAM Identity Center と統合すれば、 AD のユーザーアカウントで AWS マネジメントコンソールや CLI にシングルサインオンでアクセスできます。 EC2 の Windows インスタンスをドメインに参加させることも可能で、 Systems Manager の自動ドメイン参加機能を使えば、起動時に自動的に AD ドメインに参加します。
オンプレミス AD との信頼関係
Managed Microsoft AD とオンプレミス AD の間にフォレスト信頼 (Forest Trust) を構築することで、双方のユーザーが相手側のリソースにアクセスできるようになります。信頼関係の構築には、オンプレミスと AWS VPC 間の VPN 接続または Direct Connect が必要です。信頼の方向は一方向 (片方からのみアクセス) または双方向 (相互アクセス) を選択できます。セキュリティの観点から、必要最小限の方向で信頼を構築することを推奨します。信頼関係を構築すると、オンプレミスの AD ユーザーが AWS 上の WorkSpaces にログインしたり、FSx のファイル共有にアクセスしたりできるようになります。DNS の条件付きフォワーダーを設定し、各ドメインの名前解決が正しく動作するようにする必要があります。Managed Microsoft AD はドメインコントローラーの IP アドレスを提供するため、オンプレミス側の DNS にこれらを条件付きフォワーダーとして登録します。オンプレミス AD を AWS へ拡張する方法は信頼関係だけではありません。Managed Microsoft AD の Hybrid Edition は、既存の AD ドメインに AWS 管理のドメインコントローラーを参加させる形態で、信頼関係を作らずに同一ドメインのまま AWS へ拡張できます。同じ資格情報とグループメンバーシップをそのまま利用できるため、フォレスト信頼の設計と運用が不要になります。一方で、作成前に自己管理ドメインコントローラーに対するディレクトリ評価 (Directory assessment) の合格が必要で、VPC から自己管理 AD の DNS へ到達できること、異なるアベイラビリティーゾーンにある 2 つのサブネットを用意することが前提になります。ドメインを分けたまま相互アクセスさせたい場合はフォレスト信頼、同一ドメインを AWS へ延伸したい場合は Hybrid Edition という切り分けになります (2026 年 8 月時点)。
Directory Service の料金
(2026 年 8 月時点・東京リージョン・1 か月 730 時間換算) Managed Microsoft AD の課金はドメインコントローラー単位で、既定のマルチ AZ 構成 (2 ドメインコントローラー) が課金対象です。Standard エディションは 1 時間あたり 0.146 USD (月額約 107 USD)、Enterprise エディションは 0.445 USD (月額約 325 USD)、Hybrid エディションは 0.75 USD (月額約 548 USD) です。AD Connector は Small が 0.08 USD/時 (月額約 58 USD)、Large が 0.24 USD/時 (月額約 175 USD) で、Simple AD も同じ単価です。単価はリージョンによって変わるため、見積もりの際は対象リージョンの公式料金表で確認します。WorkSpaces や RDS for SQL Server との統合は、同一アカウント内であればディレクトリ料金以外の追加料金は発生しません。ただしディレクトリを別のアカウントへ共有して使う場合は、共有先のアカウントごとに時間課金が発生します (Standard は 0.0219 USD/時 = 月額約 16 USD、Enterprise と Hybrid は 0.06675 USD/時 = 月額約 49 USD)。ディレクトリ共有を前提にしたマルチアカウント構成では、この共有料金を共有先のアカウント数分だけ見込んでおきます。
まとめ - Directory Service の活用指針
AWS Directory Service は、Active Directory のクラウド統合を実現する 3 つのディレクトリタイプを提供します。Managed Microsoft AD はフル機能の AD が必要な場合、AD Connector はオンプレミス AD をそのまま使いたい場合、かつて基本的な LDAP のみが必要な場合の受け皿だった Simple AD は新規受付を終えているため、新規構築ではこの 2 つから選ぶことになります。Managed Microsoft AD には、新しいドメインを作る Standard / Enterprise エディションのほかに、既存の AD ドメインへ AWS 管理のドメインコントローラーを参加させる Hybrid Edition があり、オンプレミスの AD をそのまま延伸したい場合はこちらが候補になります。WorkSpaces ・ FSx ・ RDS for SQL Server など AD 認証を必要とする AWS サービスとのネイティブ統合が主な価値です。オンプレミスの AD 依存アプリケーションをクラウドに移行する際、Directory Service は移行の複雑さを大幅に軽減します。
参考資料 (AWS 公式)
本ページの一次情報は AWS 公式サイトおよび公式ドキュメントです。最新の仕様 / 料金は次の公式ページで確認できます。
本ページと公式ドキュメントの記述が食い違う場合は、公式ドキュメントを正としてください。