Active Directory 集成 - 通过 AWS Directory Service 将本地 ID 基础设施扩展到云端
讲解使用 AWS Directory Service 实现 Active Directory 的云集成。介绍 AWS Managed Microsoft AD、AD Connector、Simple AD 的选用，以及与 WorkSpaces / RDS / FSx 的集成。
Active Directory 云集成的课题
许多企业在本地运行 Microsoft Active Directory（AD），它承担着用户认证、组策略、文件服务器访问控制等 IT 基础设施的核心职能。在迁移到云时，如何处理依赖 AD 的应用程序（基于 Windows 的业务应用、SQL Server、文件服务器）会成为课题。AWS Directory Service 提供 3 种目录类型，实现与用例相应的 AD 云集成。AWS Managed Microsoft AD 在云端提供完整的 Microsoft AD，可以与本地 AD 建立信任关系（Trust）。AD Connector 是指向本地 AD 的代理，在云端不保存数据。Simple AD 是基于 Samba 4 的轻量目录，仅提供基本的 LDAP 功能。
3 种目录类型的选用
在云上构建独立的 AD 时，或者需要与本地 AD 建立信任关系时，选择 AWS Managed Microsoft AD。它全面支持组策略、LDAP、Kerberos、NTLM 认证，可以让依赖 AD 的应用程序直接运行。版本有以下 3 种（截至 2026 年 8 月）。前 2 种是 Standard Edition（最多 30,000 个对象）和 Enterprise Edition（最多 500,000 个对象）。第 3 种是 Hybrid Edition（最多 500,000 个对象）。Hybrid Edition 不是创建新的域，而是让 AWS 托管的域控制器加入现有的自行管理 AD 域的形式。借助它，无需建立信任关系即可将本地 AD 扩展到 AWS。域控制器在多可用区中自动冗余部署，补丁应用和快照也由 AWS 管理。希望继续直接使用本地现有 AD 时，选择 AD Connector。它作为代理运行，将来自 AWS 服务（WorkSpaces、IAM Identity Center 等）的认证请求转发到本地 AD。由于在云端不保存用户数据，它适合有数据主权要求的情况。它有 2 种规格（截至 2026 年 8 月 / 东京区域）。分别是 Small（最多 500 个用户，0.08 美元/小时）和 Large（最多 5,000 个用户，0.24 美元/小时）。Simple AD 一直用于仅需要 AD 基本功能（用户管理、组管理、LDAP 认证）的小规模环境。但它已于 2026 年 7 月 30 日停止受理新客户（现有环境可继续使用 / 截至 2026 年 8 月）。它不支持组策略和信任关系，但可以以最低的成本（Small：0.08 美元/小时 / 东京区域）使用。
与 AWS 服务的集成
Directory Service 的主要价值在于与需要 AD 认证的 AWS 服务进行原生集成。Amazon WorkSpaces（虚拟桌面）使用 AD 的用户账户登录，可以通过组策略控制桌面环境。Amazon FSx for Windows File Server 通过 AD 的访问控制列表（ACL）进行文件级别的权限管理。RDS for SQL Server 支持 Windows 认证（Kerberos），可以使用 AD 的用户账户登录 SQL Server。Amazon Connect（联络中心）可以使用 AD 的用户管理座席。与 IAM Identity Center 集成后，可以使用 AD 的用户账户通过单点登录访问 AWS 管理控制台和 CLI。也可以让 EC2 的 Windows 实例加入域，使用 Systems Manager 的自动加入域功能后，实例会在启动时自动加入 AD 域。
与本地 AD 的信任关系
在 Managed Microsoft AD 与本地 AD 之间建立林信任（Forest Trust）后，双方的用户都能够访问对方的资源。建立信任关系需要本地与 AWS VPC 之间的 VPN 连接或 Direct Connect。信任的方向可以选择单向（仅从一方访问）或双向（相互访问）。从安全的角度出发，推荐按必要的最小方向建立信任。建立信任关系后，本地的 AD 用户就能够登录 AWS 上的 WorkSpaces，或访问 FSx 的文件共享。需要设置 DNS 的条件转发器，使各个域的名称解析正确运行。Managed Microsoft AD 提供域控制器的 IP 地址，因此将这些地址作为条件转发器注册到本地的 DNS 中。将本地 AD 扩展到 AWS 的方法并不只有信任关系。Managed Microsoft AD 的 Hybrid Edition 是让 AWS 托管的域控制器加入现有 AD 域的形式。借助它，无需建立信任关系，即可保持同一个域扩展到 AWS。由于可以直接使用相同的凭证和组成员身份，不再需要林信任的设计和运维。另一方面，创建前需要通过针对自行管理域控制器的目录评估（Directory assessment）。此外，前提是能够从 VPC 访问自行管理 AD 的 DNS，并准备好位于不同可用区的 2 个子网。希望在保持域分离的同时相互访问时选择林信任，希望将同一个域延伸到 AWS 时选择 Hybrid Edition，这就是两者的区分方式（截至 2026 年 8 月）。
Directory Service 的费用
（截至 2026 年 8 月 / 东京区域 / 按每月 730 小时换算）Managed Microsoft AD 按域控制器计费。默认的多可用区配置（2 个域控制器）为计费对象。Standard 版每小时 0.146 美元（每月约 107 美元）。Enterprise 版为 0.445 美元（每月约 325 美元），Hybrid 版为 0.75 美元（每月约 548 美元）。AD Connector 的 Small 为 0.08 美元/小时（每月约 58 美元），Large 为 0.24 美元/小时（每月约 175 美元）。Simple AD 也是相同的单价。单价因区域而异，因此估算时在目标区域的官方价格表中确认。与 WorkSpaces 和 RDS for SQL Server 的集成，只要在同一账户内，除目录费用外不会产生额外费用。不过，将目录共享给其他账户使用时，每个共享目标账户都会产生按小时计费。单价分别为 Standard 0.0219 美元/小时 = 每月约 16 美元，Enterprise 和 Hybrid 0.06675 美元/小时 = 每月约 49 美元。在以目录共享为前提的多账户配置中，按共享目标账户的数量预先估算这项共享费用。
总结 - Directory Service 的使用指南
AWS Directory Service 提供 3 种实现 Active Directory 云集成的目录类型。需要完整功能的 AD 时选择 Managed Microsoft AD，希望直接使用本地 AD 时选择 AD Connector。过去作为仅需基本 LDAP 时的承接方案的 Simple AD 已停止受理新客户，因此新建时将从这 2 种中选择。Managed Microsoft AD 除了创建新域的 Standard / Enterprise 版之外，还有让 AWS 托管的域控制器加入现有 AD 域的 Hybrid Edition。希望直接延伸本地 AD 时，它将成为候选。与 WorkSpaces / FSx / RDS for SQL Server 等需要 AD 认证的 AWS 服务进行原生集成是其主要价值。将本地依赖 AD 的应用程序迁移到云时，Directory Service 会大幅降低迁移的复杂性。
参考资料（AWS 官方）
本页的第一手信息来源是 AWS 官方网站及官方文档。最新的规格与价格请以下列官方页面为准。
如本页内容与官方文档不一致，请以官方文档为准。