AWS Directory Service
AWS 上でマネージド Active Directory やディレクトリ連携を提供するサービスで、Windows ワークロードの認証基盤をクラウドに構築する
概要
AWS Directory Service は、Microsoft Active Directory (AD) をフルマネージドで提供する AWS Managed Microsoft AD を中心に、Simple AD や AD Connector など複数のディレクトリオプションを提供するサービスです。Windows ベースのワークロードに必要なグループポリシー、Kerberos 認証、LDAP クエリをクラウド上で利用でき、オンプレミスの AD との信頼関係構築により、既存の認証基盤をシームレスに拡張できます。
3 つのディレクトリオプションと選択基準
Directory Service は用途に応じて 3 つのオプションを提供しています。AWS Managed Microsoft AD は、実際の Microsoft Active Directory が 2 つ以上のアベイラビリティゾーンにまたがるドメインコントローラーとして稼働するフルマネージドサービスです。グループポリシー、信頼関係、スキーマ拡張など AD のフル機能が利用でき、RDS for SQL Server や Amazon WorkSpaces など AD 認証を必要とする AWS サービスとの統合にも使えます。Simple AD は Samba 4 ベースの軽量ディレクトリで、基本的な LDAP 認証とユーザー管理のみが必要な小規模環境向けでしたが、2026 年 7 月 30 日に新規顧客向けの受付を終了しています (既存環境は継続利用可 / 2026 年 8 月時点)。AD Connector はディレクトリそのものではなく、オンプレミスの既存 AD へのプロキシとして機能します。AWS のサービスからの認証リクエストを VPN や Direct Connect 経由でオンプレミス AD に転送するため、クラウド側にユーザー情報を複製する必要がありません。選択基準として、AD のフル機能が必要なら Managed Microsoft AD、既存 AD を活用したいなら AD Connector が適しており、かつては低コストの基本認証用途を Simple AD が担っていました。
Managed Microsoft AD の信頼関係とハイブリッド認証設計
オンプレミスの AD フォレストと AWS の Managed Microsoft AD の間に信頼関係 (Trust) を構築すると、ハイブリッド構成を取れます。フォレスト信頼 (Forest Trust) を設定すると、オンプレミスのユーザーが AWS 上のリソースにシングルサインオンでアクセスでき、逆に AWS 上のサービスアカウントがオンプレミスのリソースを参照することも可能になります。信頼関係の通信は Direct Connect または Site-to-Site VPN 経由で行われ、信頼関係に必要な DNS (53)、Kerberos (88)、LDAP (389) などのポートをセキュリティグループで許可する必要があります。Managed Microsoft AD の Enterprise Edition はマルチリージョンレプリケーションにも対応しており、プライマリリージョンのディレクトリを他リージョンに自動複製することで、グローバルに分散したワークロードの認証レイテンシーを低減できます。Azure AD (Microsoft Entra ID) とは異なり、Managed Microsoft AD はオンプレミス AD と同じプロトコルスタックで動作するため、既存の AD 管理ツールを利用できます。ただし、ドメイン管理者とエンタープライズ管理者の特権ユーザーとグループは AWS が専有しており、利用者は AWS が作成する Admin アカウントで自分の OU を管理します。
AWS サービス統合と運用上の考慮事項
Managed Microsoft AD は多数の AWS サービスと統合されています。Amazon WorkSpaces はデスクトップの認証に AD を使用し、RDS for SQL Server は Windows 認証でデータベース接続を行い、Amazon FSx for Windows File Server は AD のアクセス制御リスト (ACL) でファイル共有の権限を管理します。EC2 の Windows インスタンスはドメイン参加により、グループポリシーの適用やドメインユーザーでのログオンが可能になります。SSM (Systems Manager) のシームレスドメイン参加機能を使えば、インスタンス起動時に自動的にドメインに参加させることもできます。運用面では、ドメインコントローラーの OS パッチ適用やスナップショットは AWS が自動的に管理するため、インフラ運用の負荷が軽くなります。ただし、OU (組織単位) の設計、グループポリシーの作成、ユーザー / グループの管理は利用者の責任です。ディレクトリのサイズは Standard (最大 30,000 オブジェクト) と Enterprise (最大 500,000 オブジェクト) の 2 エディションがあり、ユーザー数とコンピューターオブジェクト数の合計で選択します。
参考資料 (AWS 公式)
本ページの一次情報は AWS 公式サイトと公式ドキュメントです。最新の仕様と料金は次の公式ページで確認できます。
本ページと公式ドキュメントの記述が食い違う場合は、公式ドキュメントを正としてください。