AWS Simple AD と AD Connectorの違い

## はじめに

AWS Directory Serviceには、Simple ADとAD Connectorという2つの選択肢があり、AWS環境でユーザー認証やグループ管理を実現できます。しかし、それぞれの特徴や適したユースケースは大きく異なります。「結局どっちを選べばいいの？」と悩む方もいるのではないでしょうか。

本記事では、Simple ADとAD Connectorの機能、メリット・デメリットを徹底比較し、どのような場合にどちらを選ぶべきか解説します。

## Simple ADとは？
Simple ADは、AWSクラウド上に構築される、Microsoft ADの機能サブセットを実装したマネージドディレクトリサービスです。既存のオンプレミスAD環境は不要で、AWS内に独立したユーザー管理基盤を構築したい場合に適しています。

### Simple ADの主な特徴

* AWSクラウド専用: AWS上に閉じた環境で動作し、既存のAD環境との連携は前提としません。
* AD互換機能: ユーザーアカウント、グループ、グループポリシー、ドメイン参加など、基本的なAD機能を提供します。
* 低コスト: 一般的に、AWS Managed Microsoft ADよりも安価に利用できます。
* 最大5,000ユーザー: 小〜中規模の環境に適しています。
* LDAP/Samba互換: LDAP対応アプリケーションやSambaベースのファイルサーバーとの連携が可能です。
* 信頼関係非サポート: 他のディレクトリとの信頼関係は構築できません。
* 高度なAD機能制限: DNS動的更新、スキーマ拡張、LDAPS、PowerShell ADコマンドレットなどは利用できません。

### Simple ADのメリット・デメリット

**メリット:**

* 既存のAD環境が不要で、AWS上で手軽にユーザー管理基盤を構築できる。
* 低コストで利用できるため、費用を抑えたい場合に有利。
* 基本的なAD機能で要件を満たせる場合にシンプル。

**デメリット:**

* 既存のAD環境との連携機能はない。
* 最大ユーザー数に制限がある。
* 高度なAD機能は利用できない。
* 他のディレクトリとの信頼関係を構築できない。

### Simple ADの主なユースケース

* Amazon WorkSpacesのユーザー認証基盤として、AWS内に独立したユーザー管理を行いたい場合。
* Sambaベースのファイルサーバーの認証基盤として、AWS内で完結させたい場合。
* AWS上にシンプルな認証基盤を低コストで構築したい小〜中規模の環境。

## AD Connectorとは？

AD Connectorは、既存のオンプレミスまたはAWS上に構築されたActive DirectoryとAWS環境を接続するためのディレクトリゲートウェイです。ユーザー認証リクエストを既存のADに転送し、AWSリソースへのアクセスに既存のADアカウントを利用できます。

### AD Connectorの主な特徴

* 既存ADとの連携: オンプレミスまたはAWS上の既存ADとVPNまたはDirect Connect経由で接続します。
* 認証情報の転送: AWSリソースへの認証リクエストを既存のADに転送し、認証処理を行います。
* ディレクトリ同期不要: ユーザー情報やパスワードは既存のADで管理され、AWS側に同期されません。
* シングルサインオン (SSO): 既存のADアカウントでAWS Management Consoleや対応サービスにSSOでアクセス可能。
* 多要素認証 (MFA) 連携: 既存のAD環境で設定されたMFAをAWS環境でも利用可能。
* EC2インスタンスのドメイン参加: AD Connector経由でEC2インスタンスを既存のADドメインに参加させることが可能。
* IAMロールの割り当て: ADのユーザーやグループにIAMロールを割り当てることで、AWSリソースへのアクセス制御をAD側で管理可能。
* サイズ選択: Small (最大500ユーザー)、Large (最大5,000ユーザー) の2つのサイズから選択可能。
* VPN/Direct Connect必須: 既存ADとのネットワーク接続が必須。

### AD Connectorのメリット・デメリット

**メリット:**

* 既存のAD環境をそのままAWS環境でも利用できるため、ユーザーは新しい認証情報を覚える必要がない。
* 既存のADのセキュリティポリシーやパスワードポリシーをAWS環境にも適用できる。
* シングルサインオン (SSO) や多要素認証 (MFA) を既存のAD環境と連携できる。
* EC2インスタンスを既存のADドメインに容易に参加させることができる。
* ディレクトリ同期が不要なため、管理の複雑さを軽減できる。

**デメリット:**

* 既存のAD環境とのネットワーク接続（VPN/Direct Connect）が必須となる。
* 既存のADの可用性に依存するため、ADに障害が発生するとAWSリソースへの認証も影響を受ける可能性がある。
* Simple ADと比較して、構成がやや複雑になる場合がある。

### AD Connectorの主なユースケース

* 既存のオンプレミスAD環境を持つ組織が、AWSへの移行やハイブリッド環境を構築する際に、既存の認証基盤をAWSでも利用したい場合。
* ユーザーに既存のADアカウントでAWSリソース（Amazon WorkSpaces、EC2インスタンスなど）にアクセスさせたい場合。
* AWS Management Consoleへのシングルサインオンを実現したい場合。
* 既存のADで管理しているセキュリティポリシーをAWS環境にも適用したい場合。

## Simple AD vs AD Connector：機能比較表

| 機能                       | Simple AD                                  | AD Connector                                     |
| :------------------------- | :----------------------------------------- | :----------------------------------------------- |
| 既存AD連携                 | ×                                          | ○ (VPN/Direct Connect必須)                        |
| ディレクトリ同期           | AWS内に独立                             | 不要 (既存ADを参照)                               |
| シングルサインオン (SSO)   | -                                          | ○ (対応サービス)                                  |
| 多要素認証 (MFA)連携       | RADIUS経由で限定的                         | ○ (既存ADのMFAを利用)                              |
| EC2ドメイン参加           | ○                                          | ○                                                 |
| IAMロール割り当て         | -                                          | ○ (ADユーザー/グループにIAMロールを割り当て)        |
| 最大ユーザー数             | 5,000                                      | Small: 500, Large: 5,000                          |
| 高度なAD機能             | × (DNS動的更新、スキーマ拡張など)           | 既存ADに依存                                      |
| 信頼関係                 | ×                                          | 既存ADに依存                                      |
| コスト                     | 一般的に低コスト                             | Simple ADより高コストの場合が多い (WorkSpaces連携で無料の場合あり) |
| ネットワーク接続           | 不要                                       | VPNまたはDirect Connect必須                        |

## どちらを選ぶべきか？

| 要件                                                     | 推奨されるサービス |
| :------------------------------------------------------- | :--------------- |
| 既存のオンプレミスAD環境があり、AWSと連携したい            | AD Connector     |
| ユーザーに既存のADアカウントでAWSリソースにアクセスさせたい | AD Connector     |
| AWS Management ConsoleへのSSOを実現したい                | AD Connector     |
| AWS上に閉じたシンプルなユーザー管理基盤を構築したい        | Simple AD        |
| 既存のAD環境がなく、新たにAWS内でユーザー管理を行いたい      | Simple AD        |
| コストを抑えたい小〜中規模のAWS専用環境                  | Simple AD        |
| ディレクトリ同期の管理 overhead を避けたい                 | AD Connector     |

## まとめ

Simple ADとAD Connectorは、それぞれ異なる目的と特性を持つサービスです。既存のAD環境の有無、AWSでの利用目的、必要な機能、コストなどを総合的に考慮し、最適なサービスを選択することが重要です。

AWS環境とActive Directoryの連携を検討する際には、本記事を参考に、ご自身の環境に合ったサービスを選択してください。