AWSでMicrosoft ADがサポートされたので試してみた

Windows Server 2012 R2で動くドメインコントローラがDirectory Serviceで使えるようになりました！！！

これでまた一歩、EC2から離れることができますｗ


というわけで、実際に環境を構築してみました。


# 環境構築

## ディレクトリの種類を選択

Microsoft ADが選べます！

![AWS Directory Service Console.png](https://qiita-image-store.s3.amazonaws.com/0/36230/592c74b6-a99f-5a08-be36-a26d0dfceae6.png)


## 詳細設定

ここはSimple ADとほぼ同じですね。

管理者のユーザ名がAdminなので、Domain Adminsの権限は付与されないんだろうと想定。
Managed Serviceなので当然ではありますね。
たぶんRDPでの接続も無理でしょうね、たぶん。
（あとで確認します。）
異なるAZに1インスタンスずつできるのも同じですね。

![AWS Directory Service Console (1).png](https://qiita-image-store.s3.amazonaws.com/0/36230/0983c4ef-884e-5fd2-d2d8-93d2b02ade8d.png)

## 確認

無料枠あるみたいですね！

![AWS Directory Service Console (2).png](https://qiita-image-store.s3.amazonaws.com/0/36230/02e554f7-a525-1e75-5046-ce5b6a9b174a.png)


## あとは待つだけ

これだけ。
簡単すぎワロタｗ
作成には30分程度かかりそうです。

![AWS Directory Service Console (3).png](https://qiita-image-store.s3.amazonaws.com/0/36230/c4a05d39-589a-44bc-f86f-357f0136717f.png)


# ドメインに参加

普通にできました。
事前にDNSサーバにドメインコントローラのIPアドレスを設定しておきます。

本番環境ではVPCのDHCP Optionの利用も検討しましょう。


# できないこと

結論を言うと、Adminにはあまり権限がありません。

確認できた権限（メンバーになっているビルトイングループ）は以下の通り。（ざっくり確認しただけですので、もっとあるかも。）

* Certificate Service DCOM Access
* DNS Admin
* Incomming Forest Trust Builders
* Group Policy Creator Owners
* Domain Users

![msad15.png](https://qiita-image-store.s3.amazonaws.com/0/36230/9206cbde-9e02-da6b-ea0e-7ec593c256ef.png)

![msad09.png](https://qiita-image-store.s3.amazonaws.com/0/36230/ce3b658f-8657-62af-204b-614e22ad06f8.png)

![msad10.png](https://qiita-image-store.s3.amazonaws.com/0/36230/599e1abb-666f-ac5a-4ba0-31e06bd6418c.png)

![msad11.png](https://qiita-image-store.s3.amazonaws.com/0/36230/45089aa5-efb7-c55c-f18d-5c9979735a18.png)


~~権限の委任設定もできませんでした。~~
特定のOUに対しては可能でした。

![msad12.png](https://qiita-image-store.s3.amazonaws.com/0/36230/0b03c078-ce42-f5b7-ec51-16297600cc81.png)

![msad19.png](https://qiita-image-store.s3.amazonaws.com/0/36230/6f75e9e9-1d54-c025-5724-e502d9e2c84c.png)


リモートデスクトップ接続もだめ

![msad14.png](https://qiita-image-store.s3.amazonaws.com/0/36230/8df7174c-e12c-3362-0c7e-bae5bffc3d2d.png)

（追記）PowerShellもダメだったwww

![msad16.png](https://qiita-image-store.s3.amazonaws.com/0/36230/4f59b009-2736-7af4-084a-eddaa4c8f560.png)

## （追記）ログの閲覧

Event Log Viewerでドメインコントローラに接続してみましたが、
「DNS event logs」「security event logs」のみ閲覧可能でした。
あとは軒並みAccess Denied！

![msad17.png](https://qiita-image-store.s3.amazonaws.com/0/36230/5522307d-1512-3748-96e5-3ec278ee44b1.png)

![msad18.png](https://qiita-image-store.s3.amazonaws.com/0/36230/b8c03bcd-b788-86a4-2178-c3cde5b1ba20.png)


# その他

## スキーマ拡張

スキーマ拡張もしてくれるのかな？
これは責任の線引き難しそう・・・

![AWS Directory Service Console (4).png](https://qiita-image-store.s3.amazonaws.com/0/36230/488ced40-59a6-5ad7-d189-f0d8c06bcc25.png)

（追記）個別に申請するようです！

![Schema Extensions.png](https://qiita-image-store.s3.amazonaws.com/0/36230/0c384e6a-ab7e-b1c5-1ef1-ce10118d4c9a.png)

## フォレスト間信頼

いいですねー！

![AWS Directory Service Console (6).png](https://qiita-image-store.s3.amazonaws.com/0/36230/cf8d9bd4-b7c0-2e4e-c347-987810673f03.png)

# まとめ

* 互換性を気にしなくて良いので、かなり導入の敷居は下がった
* 権限はあまり付与されていないので、その点は検証が必要
* フォレスト間信頼でオンプレADとの連携ができるっぽい
* スキーマの拡張、誰か人柱になってwww

# 要望

* Managed ADFSはよ！！！！！
* オンプレADからのマイグレーションはよ！！！！！