はじめに
目的
本ドキュメントは、AWS Directory Serviceに関する検索意図を整理し、必要な情報を分かりやすくまとめることを目的としています。AWS Directory Serviceの基本概念、複数のディレクトリタイプの特徴、オンプレミス環境との連携方法、導入時や運用時の注意点を解説します。特にAWS Managed Microsoft ADの機能やエディション別の違い、Simple ADの概要に重点を置いています。
対象読者
- クラウド上でユーザー管理や認証を検討しているIT管理者
- オンプレミスのActive Directoryをクラウドへ拡張したい技術担当
- サービス選定やコスト比較を行う意思決定者
初心者の方でも読みやすいように、専門用語は最小限にして具体例を交えて説明します。
本書の構成
- 第1章: はじめに（本章）
- 第2章: AWS Directory Serviceとは（基本概念と用途）
- 第3章: AWS Managed Microsoft ADの概要と特徴（機能と利用例）
- 第4章: AWS Managed Microsoft ADのエディション（比較と選び方）
- 第5章: Simple ADの概要と特徴（簡易ディレクトリの使いどころ）
読み方のヒント
まず第2章で全体像をつかんでから、第3章〜第5章で具体的な選択肢と運用のポイントを確認することをおすすめします。実際の導入を想定する場合は、オンプレミスとの接続方法や運用負荷を第3章と第4章で重点的にご覧ください。
AWS Directory Serviceとは
概要
AWS Directory Serviceは、Microsoft Active Directory（AD）やLDAP互換のディレクトリ機能をAWS上で簡単に使えるようにするマネージドサービスです。ディレクトリはユーザーやグループ、デバイスの情報を一元管理し、アクセス制御の中核となります。
何ができるか（具体例）
- ユーザー管理：社員アカウントを一元管理し、パスワードやグループ権限を設定できます。例：50人規模のチームで共通の社内ポータルへSSOを設定。
- Windowsワークロードの統合：EC2インスタンスをドメインに参加させ、既存のADポリシーを適用できます。例：ファイル共有やグループポリシーの適用。
- レガシーアプリ対応：LDAPを使う既存アプリをクラウドへ移行して認証を継続できます。
利点
- AWSが運用を代行するため、パッチ適用やレプリケーションなどの運用負荷が下がります。
- スケーリングや可用性をAWSのインフラで確保できます。
選択肢と導入ポイント
AWSは用途に応じた複数の提供方式を用意します。選ぶ際は、既存のオンプレADとの連携、対応アプリ、ネットワーク設計（VPCやサブネット）、コストを確認してください。まずはテスト環境で接続や認証の互換性を検証することをおすすめします。
AWS Managed Microsoft ADの概要と特徴
概要
AWS Managed Microsoft ADは、Windows Server 2019上で動作するMicrosoft Active DirectoryをAWSが代行して運用するマネージドサービスです。ディレクトリを自分で構築・維持する負担を減らしつつ、ユーザー・グループ管理やシングルサインオン、グループポリシーの適用など、既存のAD機能をそのまま利用できます。
主な特徴
- 高可用性: 異なるアベイラビリティゾーンにペアのドメインコントローラーを自動作成します。
- 運用自動化: 障害検知と復旧、データレプリケーション、日次スナップショット、ソフトウェア更新をAWSが行います。
- 互換性: スキーマ拡張やLDAP対応、オンプレミスのActive Directoryとの信頼関係を構築できます。
- 幅広い連携: EC2、RDS、WorkSpacesなどのAWSサービスを単一ディレクトリで管理可能です。
- 認証オプション: SAML 2.0連携やAmazon SNSによる通知機能を備え、SSO環境を構築できます。
管理と制約
AWSはホストの監視やパッチ適用などインフラ周りを管理しますが、ユーザー管理、グループポリシー作成、スキーマ変更などのAD固有の設定は管理者が行います。基盤のOSに直接アクセスできないため、深いカスタマイズは制限されます。
利用シーンの例
- 社内Windowsログオンとリソースアクセスの統合
- RDSやWorkSpacesの認証統合による運用簡素化
- オンプレミスADと信頼関係を結んだハイブリッド環境の構築
注意点
ネットワーク設計（VPC、サブネット、セキュリティグループ）を適切に行う必要があります。スキーマ拡張や大型の構成変更は事前検討を行い、コスト面も考慮してください。
AWS Managed Microsoft ADのエディション
概要
AWS Managed Microsoft ADは用途に合わせて複数のエディションを用意しています。各エディションは規模や接続要件に合わせた性能や機能が異なります。以下では主要な3つのエディションを分かりやすく説明します。
Standard Edition
Standard Editionは中小企業向けの標準的な構成です。目安として最大5,000人の従業員に対応し、約30,000個のディレクトリオブジェクトをサポートします。小規模な社内ユーザー管理や少数のアプリケーション認証に向いています。導入例として、社内の人事・グループ管理や少数のクラウドアプリ連携が挙げられます。
Enterprise Edition
Enterprise Editionは大規模組織向けに設計されています。より多くのディレクトリオブジェクトを扱い、高いスケーラビリティとパフォーマンスを提供します。多数のユーザーや複雑なポリシー運用、大規模なドメイン構成が必要な場面で有効です。可用性や応答性を重視するシステムに適しています。
Hybrid Edition
Hybrid EditionはオンプレミスのActive DirectoryとAWS Managed Microsoft ADを接続して統合環境を作るための選択肢です。オンプレミスADと信頼関係を確立し、既存の認証情報でクラウドリソースへシームレスにアクセスできます。AWSはインフラ管理や強化されたモニタリングを担当するため、運用負荷を軽減できます。オンプレミスとの連携が必要な場合に適した形です。
エディションの選び方
組織の規模、既存ADの有無、可用性や運用負荷を基準に選びます。小規模ならStandard、大規模や高負荷ならEnterprise、オンプレミス連携が必要ならHybridを検討してください。導入前にユーザー数とオブジェクト数の想定を確認することをお勧めします。
Simple ADの概要と特徴
概要
Simple ADは、AWS上で手軽に利用できるスタンドアロンのディレクトリです。基本的なActive Directoryの機能を提供し、Windowsのリモートデスクトップ環境やLinuxベースのアプリケーションがLDAP認証を必要とする場合に適しています。管理が簡単で、小規模〜中規模のワークロードに向きます。
主な特徴
- ユーザーとグループ管理：ユーザーアカウントとグループの作成・管理ができます。具体例として、開発チーム用グループを作りメンバーを一括管理できます。
- 認証とSSO：Kerberosベースのシングルサインオンに対応し、同じ認証情報で複数サービスにログインできます。
- LDAPサポート：アプリケーションやLinuxサーバーからLDAPでユーザー情報を照会できます。
- グループポリシー：基本的なポリシーを適用して、クライアント設定を統一できます。
適した利用シーン
- 小規模な社内システムやテスト環境
- LDAP認証が必要なWebアプリやLinuxワークロード
- 簡単にAD互換の機能を使いたいケース
制限事項
- フル機能のMicrosoft ADと比べると一部機能がありません。例えば、オンプレミスのActive Directoryとの信頼関係やスキーマ拡張、企業向けの高機能サービスには対応しません。
- 大規模なユーザー数や複雑な企業ポリシーを前提とする場合は、別の選択肢を検討してください。
簡単な導入の流れ（例）
- AWSコンソールでSimple ADを作成する
- EC2インスタンスをドメインに参加させる
- ユーザーやグループを作成し、必要なポリシーを適用する
このように、Simple ADはシンプルで素早く使える一方、企業向けの高度な連携が不要な場面で特に有用です。
