AWS Directory Service で構築するマネージド Active Directory - ハイブリッド環境の ID 管理
AWS Managed Microsoft AD の構築とオンプレミス AD との信頼関係を設計する。WorkSpaces・RDS・FSx との統合によるハイブリッド ID 管理を紹介します。
Directory Service の概要
Directory Service は AWS でマネージド Active Directory を提供するサービスです。AWS Managed Microsoft AD、AD Connector、Simple AD の 3 つのオプションがあります。Managed Microsoft AD はフルマネージドの AD を 2 つ以上の AZ にドメインコントローラーを配置してマルチ AZ で提供し、オンプレミス AD との信頼関係を構築できます。Managed Microsoft AD には Standard・Enterprise・Hybrid の 3 つのエディションがあります。Standard と Enterprise は AWS 側に独立した AD フォレストを新規作成するリソースフォレスト型で、オンプレミスの既存フォレストとはフォレスト信頼で結びます。一方 Hybrid エディションは既存のオンプレミスフォレストに AWS 上のドメインコントローラーを参加させて AD データを複製するドメイン拡張型で、信頼関係を設計せずに既存ドメインをそのまま AWS 側へ延伸したい場合に適します。ドメインコントローラーの OS パッチ適用、データレプリケーション、スナップショットベースのバックアップ (日次) は AWS が自動的に実施するため、運用チームは AD のスキーマ設計やグループポリシーに集中できます。
ハイブリッド統合
オンプレミス AD と Managed Microsoft AD の間にフォレスト信頼を構築すると、オンプレミスのユーザーが AWS リソースにシングルサインオンでアクセスできます。VPN または Direct Connect でオンプレミスと VPC を接続し、DNS の条件付きフォワーダーを設定します。信頼の方向は一方向の incoming、一方向の outgoing、双方向 (two-way) の 3 通りから選択できます。相手フォレストを信頼する側から見た設定が outgoing、相手から信頼される側の設定が incoming にあたり、オンプレミスのユーザーが AWS 上のリソースを使うだけなら一方向で足ります。AWS 側のユーザーがオンプレミスのリソースにもアクセスする必要がある場合は双方向信頼を構成します。AD Connector はオンプレミス AD へのプロキシで、AWS 上に AD データを複製しません。WorkSpaces や IAM Identity Center (旧 AWS SSO) のディレクトリとして使用し、認証リクエストをオンプレミス AD に転送します。AD Connector は認証のレイテンシがネットワーク経路に依存するため、VPN よりも Direct Connect のような低レイテンシ接続が推奨されます。
WorkSpaces と RDS との統合
Managed Microsoft AD は WorkSpaces、RDS for SQL Server、FSx for Windows File Server、QuickSight など多数の AWS サービスと直接統合します。WorkSpaces のユーザー認証に AD を使用し、グループポリシーでデスクトップ設定を一元管理します。RDS for SQL Server の Windows 認証で、AD ユーザーが SQL Server にシームレスにログインできます。FSx for Windows File Server は AD の ACL を使ったファイルレベルのアクセス制御を提供し、NTFS パーミッションをそのまま利用できます。AD Connector はオンプレミス AD へのプロキシとして機能し、AWS 上にディレクトリを複製せずに認証を委任します。Simple AD は Samba ベースの軽量ディレクトリとして小規模環境や開発環境で使われてきましたが、2026 年 7 月 30 日に新規顧客向けの受付を終了しています (既存環境は継続利用可・2026 年 8 月時点)。
設計のベストプラクティスと落とし穴
Managed Microsoft AD の設計で見落としがちなポイントを整理します。第一に、VPC サブネットの選択です。ドメインコントローラーは指定した 2 つのサブネット (異なる AZ) に配置されるため、これらのサブネットからの DNS 解決とネットワークアクセスが全ワークロードに到達可能である必要があります。第二に、DHCP オプションセットの設定です。VPC 内のインスタンスがドメインに参加するには、DHCP オプションセットのドメイン名とネームサーバーを Managed Microsoft AD の DNS アドレスに設定する必要があります。これを忘れるとドメイン参加が失敗します。第三に、スキーマ拡張です。Managed Microsoft AD は LDIF ファイルによるスキーマ拡張をサポートしますが、スキーマ変更はロールバックできないため、テスト環境で十分に検証してから適用します。第四に、管理者権限の範囲です。AWS が管理するコンテナ (Builtin, Domain Controllers OU 等) にはアクセスできず、ユーザーがカスタムの OU を作成してその中で管理する形になります。
AD Connector・Simple AD・IAM Identity Center との使い分け
Directory Service の 3 つのオプションと IAM Identity Center の使い分けは、要件に応じて明確に判断できます。既存のオンプレミス AD を維持しつつ AWS リソースへのアクセスのみ必要な場合は AD Connector が最もシンプルです。AWS 上に新規で完全な AD が必要で、グループポリシー、LDAP、Kerberos を活用する場合は Managed Microsoft AD を選択します。Linux インスタンスのみで軽量なディレクトリが欲しい用途はかつて Simple AD が担っていましたが、新規受付終了後は Managed Microsoft AD か IAM Identity Center で代替します。一方、AWS マネジメントコンソールや AWS CLI への SSO アクセスが主目的で、AD が不要な場合は IAM Identity Center の組み込みディレクトリが適しています。IAM Identity Center は Managed Microsoft AD や AD Connector をアイデンティティソースとして接続することも可能で、AD ユーザーに AWS アカウントへのアクセスを割り当てるハブとして機能します。
Directory Service の料金
Directory Service の料金は 2026 年 8 月時点の値で、バージニア北部 (us-east-1) と東京 (ap-northeast-1) を併記します。Managed Microsoft AD はドメインコントローラー 1 台あたりの時間課金で、既定の 2 台構成・1 か月 720 時間で換算すると次のようになります。Standard エディションは 1 台あたり 0.060 ドル/時 (バージニア北部)・0.073 ドル/時 (東京) で、月額約 86 ドル・約 105 ドルです。Enterprise エディションは 0.200 ドル/時・0.2225 ドル/時 で、月額約 288 ドル・約 320 ドルになります。Hybrid エディションは 0.3250 ドル/時・0.3750 ドル/時 で、月額約 468 ドル・約 540 ドルと 3 エディションで最も高くなります。認証性能や冗長性のために追加するドメインコントローラーには同じ単価が 1 台分加算されるため、Standard なら月額約 43 ドル (バージニア北部)・約 53 ドル (東京)、Enterprise なら約 144 ドル・約 160 ドルの増分と見積もれます。AD Connector と Simple AD はディレクトリ単位の課金で、Small が 0.05 ドル/時・0.08 ドル/時 (月額約 36 ドル・約 58 ドル)、Large が 0.15 ドル/時・0.24 ドル/時 (月額約 108 ドル・約 173 ドル) です。なお Managed Microsoft AD を他アカウントへ共有する場合は、共有先アカウント 1 つあたりの時間課金がディレクトリ本体とは別に発生します。Standard と Enterprise の主な違いは、格納できる AD オブジェクト数 (Standard 約 30,000 / Enterprise 約 500,000)、ディレクトリを共有できる AWS アカウント数 (Standard 約 25 / Enterprise 500)、そしてマルチリージョンレプリケーションに対応するか (Enterprise のみ) の 3 点です。大半のユースケースでは Standard から開始し、オブジェクト数や共有先アカウント数が上限に近づいた場合、あるいは複数リージョンへ AD を展開する必要が生じた場合に Enterprise へ移行する段階的アプローチが推奨されます。
まとめ
Directory Service はマネージド Active Directory でハイブリッド環境の ID 管理を実現するサービスです。WorkSpaces、RDS for SQL Server、FSx for Windows File Server と直接統合し、オンプレミス AD とのフォレスト信頼でシームレスな認証を提供します。AD Connector でオンプレミス AD へのプロキシ接続も可能です。IAM Identity Center と組み合わせることで、AD ユーザーへの AWS アカウントアクセス管理を一元化できます。
参考資料 (AWS 公式)
本ページの一次情報は AWS 公式サイトおよび公式ドキュメントです。最新の仕様 / 料金は次の公式ページで確認できます。
本ページと公式ドキュメントの記述が食い違う場合は、公式ドキュメントを正としてください。