AWS Directory Service

は、Microsoft （AD）を AWS のワークロードや AWS サービスから利用するためのサービス群です。SAA では、AWS 上に実体のある AD が必要か、既存 AD へのプロキシ接続でよいか、軽量な互換ディレクトリでよいかを判断します。

概要

ディレクトリにはユーザー、グループ、コンピュータなどの情報を保存します。Windows ドメイン参加、統合認証、グループポリシー、対応 AWS サービスの認証基盤として利用します。

主要技術

①AWS Managed Microsoft AD ⚠️ 頻出

AWS が管理する実際の Microsoft です。AD の信頼関係、グループポリシー、Windows ワークロード、AD 対応アプリケーションが必要な場合に選びます。 AD と信頼関係を構成できます。

②AD Connector

Connector は、AWS から既存 AD へ認証要求を転送するプロキシです。ユーザー情報を AWS 側へ複製せず、既存 AD を引き続き管理します。

③Simple AD

Simple は Samba ベースのマネージドディレクトリです。基本的な AD 互換機能を低コストで利用したい場合に向きますが、Microsoft AD の高度な機能が必要な要件には適しません。他のドメインとの信頼関係は結べないため、 AD との信頼関係が必要なら AWS Managed Microsoft AD を選びます。

④可用性と接続

ディレクトリのユーザーに、の資格情報でへサインインさせることもできます。ディレクトリにアクセス URL (https://<名前>.awsapps.com/console/) を作ってコンソールアクセスを有効にし、AD のユーザーやグループへロールを割り当てると、サインインしたユーザーはそのロールの一時的な権限で操作します。既定ではコンソールアクセスは無効で、ロールを割り当てていないユーザーは AWS リソースへアクセスできません。コンソールアクセスは単位の機能です。複数のアカウントへのアクセスをまとめて管理するなら、ディレクトリをのアイデンティティソースにします。

ディレクトリは複数へ配置し、とネットワーク到達性を確保します。 AD と連携する場合はまたは、適切な DNS 名前解決とファイアウォール設定が必要です。

試験対策

要件	選ぶ方式
AWS 上で完全な Microsoft 機能が必要	AWS Managed Microsoft AD
既存 AD をそのまま認証に利用	AD Connector
小規模で基本的な AD 互換機能	Simple AD
複数 AWS アカウントへの従業員アクセス	と連携

AD Connector はディレクトリ本体を AWS に作るサービスではありません。「既存 AD を保持し、AWS アプリケーションから認証だけ転送」が判断軸です。