公開2024.09.02更新2026.10.20 10 人が閲覧（直近 30 日） AWS

AWS Managed Microsoft ADとは？東京の料金・エディションの違いとAD Connector・Simple ADの選び方

AWS Managed Microsoft AD（略称MSAD）は、Windows ServerのActive Directory（AD）をAWSが運用するマネージドサービスです。Samba互換の簡易版ではなく本物のADが動くので、グループポリシー（GPO）、フォレスト信頼関係、スキーマ拡張、Kerberos・LDAPの認証がそのまま使えます。この記事では、東京リージョンの料金、Standard・Enterprise・Hybridの3エディションの違い、2026年7月からコンソールでもできるようになったエディション変更、EC2の管理サーバーなしでユーザーを作る方法、AD Connector・Simple ADとの使い分けを、AWSの一次情報に沿って整理します。

まとめ：AWS Managed Microsoft ADの正体・料金・選び方

正体：AWS Directory Serviceの1種類で、Windows Server 2019上で動くAD。ドメインコントローラー（DC）2台を別々のアベイラビリティゾーン（AZ）に置き、パッチ・監視・日次バックアップはAWSが受け持つ。
料金（東京）：DC1台1時間あたりStandard 0.073ドル、Enterprise 0.2225ドル、Hybrid 0.375ドル。最低2台なので、Standardは1時間0.146ドル（月730時間で約107ドル）から。
エディション：Standardは約3万オブジェクト・単一リージョン、Enterpriseは約50万オブジェクト・最大5リージョン。StandardからEnterpriseへの変更は、2026年7月30日からコンソールでもできる（戻せない）。
使い分け：AWS内に新しいADが要るならManaged Microsoft AD。既存ADの資格情報をAWSサービスで使うだけならAD Connector。Simple ADは2026年7月30日に新規顧客の受付を終えた。
運用の変化：ユーザーやグループは、Directory Service Dataを有効にすればコンソールやCLIから追加費用なしで作れる。管理用のWindows EC2は必須ではなくなった。

AWS Managed Microsoft ADとは：AWSが運用する本物のActive Directory

正式名称は「AWS Directory Service for Microsoft Active Directory」です。AWSの管理ガイドでは、Windows Server 2019で動くActive Directoryをマネージドサービスとして提供し、VPC内の異なるAZに高可用なDCのペアを作り、監視・復旧・レプリケーション・スナップショット・ソフトウェア更新をAWSが自動で行うと説明しています。フォレストとドメインの機能レベルは2016です。

利用者が受け持つのは、ユーザー・グループ・GPO・DNSレコードなどディレクトリの中身です。DCのOSにはログインできず、監視エージェントも入れられません。オンプレADの「サーバーごと任される」運用とはここが違います。WorkSpaces、RDS for SQL Server、FSx for Windows File Server、EC2の自動ドメイン参加と直接つながる点が、アプリ利用者向けの認証サービスとの違いです。

Adminアカウントに渡る権限と渡らない権限

この節はStandard／Enterpriseの話です（Hybridでは既存ADの管理権限を利用者が持ち続けます）。ディレクトリを作ると、指定したパスワードで「Admin」というユーザーが作られます。ただしAdminアカウントの権限ページのとおり、Domain AdminsとEnterprise Adminsの特権グループはAWSが排他的に管理し、利用者には渡りません。Adminができるのは、自分のOU内でのユーザー・グループ・コンピューターの追加削除、OUの作成と委任、GPOの作成とリンク、ごみ箱からの復元、gMSAやKerberos制約付き委任の設定、ドメイン全体のDNS管理などです。

ドメインの直下には「AWS Delegated Groups」「AWS Reserved」と、NetBIOS名のOUの3つが作られます。権限を部下に渡すときは、AWS Delegated Groupsにある「AWS Delegated Administrators」などのグループへ追加します。Domain Adminsが前提のパッケージソフト（DCへの直接インストールを求めるものなど）は動かせないので、導入前に要件を確認してください。

AWS Directory Serviceの3種類：Managed Microsoft AD・AD Connector・Simple ADの違い

「aws directory service」は単体の製品名ではなく、AWSでADを使うための複数の種類をまとめた呼び名です。同じコンソールから作れますが、実体も料金もまったく違います。

種類	実体	向いている用途	規模の目安
Managed Microsoft AD	Windows ServerのAD	AWS内に新しいAD	約3万／約50万オブジェクト
AD Connector	既存ADへの中継	既存ADの資格情報を使う	上限なし・処理量で選ぶ
Simple AD	Samba 4互換	既存利用者の小規模用途	500人／5,000人

なお、Webアプリやモバイルアプリの利用者認証はAmazon Cognito、AWSアカウントへのログインの統制はIAM Identity Centerの担当で、Directory Serviceの守備範囲ではありません。Managed Microsoft ADやAD Connectorは、AWS IAM Identity CenterのIDソースとして接続される側に立ちます。

AD Connectorの中継方式と共有・VPCの制約

AD Connectorの公式ページでは、クラウドに情報をキャッシュせずにディレクトリ要求をオンプレミスのADへ転送するゲートウェイと説明されています。ユーザーはオンプレADに残るので二重管理が起きず、パスワードの期限やロックアウトのポリシーもオンプレ側のものがそのまま効きます。経路にはVPNかAWS Direct Connectが必要です。

サイズはSmallとLargeで、ユーザー数や接続数の強制上限はありません。選ぶ基準は1秒あたりの処理量です。制約は3つあります。他のAWSアカウントと共有できないこと、推移的な信頼に対応せず子ドメインごとに1つずつ作る必要があること、複数VPCを認識しないためWorkSpacesなどを同じVPCに置く必要があることです。RADIUSによるMFAには対応しています。

Simple AD：2026年7月30日で新規顧客の受付を終了

AWS Directory Serviceの製品ページには「Simple ADは2026年7月30日から新規顧客に提供しない」旨の告知が出ています。Simple ADの提供変更ページによると、止まるのは新規顧客の受け入れだけで、既存の利用者は全機能を使い続けられ、新しいSimple ADディレクトリも作れます。代替としてAWSが挙げているのはManaged Microsoft ADとAD Connectorです。

Simple ADはSmallが最大500ユーザー（約2,000オブジェクト）、Largeが最大5,000ユーザー（約2万オブジェクト）です。MFA、他ドメインとの信頼、PowerShell、ADのごみ箱、gMSA、スキーマ拡張に対応せず、FSx、RDS for SQL Server、IAM Identity Centerとも連携できません。既存の利用者も、これらが必要になった時点でManaged Microsoft AD（Standard）へ移る前提で計画しておくのが安全です。

エディションの違い：Standard・Enterprise・Hybridの上限と用途

Managed Microsoft ADを選んだら、次にエディションを決めます。AWS公式の料金ページの比較表とクォータのページから主な差をまとめると次のとおりです。

項目	Standard	Enterprise	Hybrid
用途	新しいADを作る	新しいADを作る	既存ADを拡張
オブジェクト数の目安	30,000	500,000	500,000
オブジェクト用の容量	1GB	17GB	17GB
マルチリージョン	非対応	最大5リージョン	非対応
共有できるアカウント数	25	500	125
東京のDC単価（1時間）	0.073ドル	0.2225ドル	0.375ドル

オブジェクト数はユーザー・グループ・コンピューターの合計で、AWSは「上限は概算」と注記しています。グループ所属は属性として保持され、所属するたびに独立したオブジェクトが増えるわけではありません。ユーザー、コンピューター、グループなどの実数と増加見込みを基に容量を見積もります。AWSはStandardを従業員5,000人までの中小企業向けと位置づけています。数千人規模で1リージョンならStandard、数万人以上か複数リージョンにDCを置きたいならEnterpriseです。

StandardからEnterpriseへのエディション変更：手順と戻せない制約

以前はStandardで作ると、上限に近づいたときにサポートへの依頼が必要でした。2025年10月2日にUpdateDirectorySetup APIでの変更が可能になり、2026年7月30日にはAWSの更新情報でコンソールからの変更が発表されました。信頼関係やGPO、参加済みのワークロードはそのまま引き継がれ、DNS設定の変更も要りません。コンソールでは対象ディレクトリの「アクション」から「エディションのアップグレード」を選び、確認欄に confirm と入力します。CLIでは次のとおりです。

aws ds update-directory-setup \
  --directory-id d-1234567890 \
  --update-type SIZE \
  --directory-size-update-settings DirectorySize=Large \
  --create-snapshot-before-update \
  --region ap-northeast-1

Enterpriseを指す値が「Large」である点に注意してください。アップグレードのページには次の制約が並んでいます。

Standardへは戻せない。変更前のスナップショットからは復元できなくなる。
所要時間は4〜5時間。DCを1台ずつ更新するため、性能低下や停止が起こりうる。
各DCのホスト名が変わる（IPアドレスは同じ）。LDAPSを使っているならDCに新しい証明書が必要になる。
東京ではDC単価が0.073ドルから0.2225ドルになり、2台構成の月額は約107ドルから約325ドルに上がる。

DCのホスト名を直接書いている設定（LDAPのサーバー名や監視ツール）があると、変更後に接続が切れます。IPかドメイン名で参照しているかを事前に洗い出してから実行してください。変更できるようになったとはいえ戻せないので、初めはStandardで小さく始めて、上限が見えたら変更する順番が合理的です。

Hybrid Edition：既存ドメインをAWSへ延ばす前提条件

Hybrid Editionは2025年8月1日に追加されたエディションで、信頼関係を結ぶのではなく、既存のADドメインにAWS管理のDCを加えて同じドメインをAWSまで広げます。ユーザーをAWS側へ同期し直す必要がなく、既存の資格情報とGPOのまま使えます。AWSの告知で連携先として明記されているのはEC2、FSx for Windows File Server、RDSで、東京リージョンでも作れます。

前提条件のページが求める条件は厳しめです。

既存ドメインの機能レベルがWindows Server 2012 R2か2016で、読み取り専用（RODC）でないDCが2台以上ある。
_msdcsゾーンがAD統合DNSでホストされている（他社DNSでのホストは不可）。
Domain Adminsに属するサービスアカウントの資格情報を、自前のKMSキー（AWS既定のキーは不可）で暗号化したSecrets Managerのシークレットに保存する。
Systems Managerの管理ノードを2台用意する。

1リージョンあたりの上限は5ディレクトリです。既存ドメインの機能レベルが2016より新しい環境や、_msdcsを外部DNSに置いている環境では、作り直しの手間が大きくなります。その場合は、Standard／Enterpriseで新しいフォレストを作り、既存ADとフォレスト信頼を結ぶ方が早く始められます。

料金：東京リージョンの単価と月額の目安

Managed Microsoft ADはDC1台・1時間単位の課金で、最低2台が作られます。下表はAWS Price List APIの東京リージョンの価格ファイル（AWSDirectoryService・2026年9月11日公開版）の単価で、月額は730時間で計算した目安です。

種別	単価（1時間）	2台の1時間	月額の目安
Standard	DC1台0.073ドル	0.146ドル	約107ドル
Enterprise	DC1台0.2225ドル	0.445ドル	約325ドル
Hybrid	DC1台0.375ドル	0.75ドル	約548ドル
AD Connector Small	0.08ドル	DC課金なし	約58ドル
AD Connector Large	0.24ドル	DC課金なし	約175ドル

DCを追加すると、追加分も同じ単価で上乗せされます。AD Connectorは、その他のディレクトリの料金ページのとおり、WorkSpacesなどに登録して各月のアクティブユーザーがSmallで1人以上、Largeで100人以上いれば追加料金がかかりません。Managed Microsoft ADで見落としやすい付帯課金は2つです。1つはディレクトリ共有で、共有先1アカウントあたり東京でStandardは0.0219ドル、EnterpriseとHybridは0.06675ドルが1時間ごとにかかります。10アカウントにStandardを共有すると、それだけで月約160ドルです。ディレクトリを置いたアカウント自体には共有料金はかかりません。もう1つは、Enterpriseのマルチリージョン複製で他リージョンへ出るデータ転送料です。

料金ページの計算例のとおり、請求書には「ディレクトリ1つ」ではなくDC1台ずつの行が出ます。DCを増やした月に請求額が増えるのはこのためです。初めてDirectory Serviceを使うアカウントは、最初の30日間に全ディレクトリ合計で1,500DC時間まで無料です。DC2台のディレクトリ1つなら30日間（1,440時間）が収まります。共有料金とマルチリージョンのデータ転送は無料の対象外です。単価は改定されるので、見積もりは公式の料金ページとAWS Pricing Calculatorで最新値を確認してください。

構成と接続：2台のDC・セキュリティグループ・オンプレADとの信頼

ディレクトリは、指定したVPC内の別々のAZにある2つのサブネットにDCを1台ずつ置きます。障害が起きたDCは同じAZに同じIPアドレスで自動的に作り直されます。DC数の既定上限は初期の2台を含めて1ディレクトリあたり20台で、追加の指示から利用可能になるまで最大45分かかります。VPCとサブネットの設計がまだなら、VPC・EC2・IAM・セキュリティグループの初期設計を先に決めておくと手戻りが減ります。

作成時に自動で作られるセキュリティグループは、ADに必要なポートの受信をVPCのCIDRからだけ許可します。ピアリングした別VPCやVPN先のオンプレから使うなら、このルールに送信元を足す必要があります。ここを誤るとDCと通信できなくなるので、変更は最小限にしてください。

Standard／Enterpriseは新しいフォレストを作るため、既存のオンプレドメインのメンバーにはなりません。AWSはこれをリソースフォレストと呼び、利用者のIDは既存ADに残したまま、AWS側のリソースだけを分けて管理する形を想定しています。オンプレADとつなぐ方法は、外部信頼かフォレスト信頼を結ぶ（方向は受信・送信・双方向から選ぶ）か、前述のHybrid Editionです。信頼を結ぶにはオンプレ側の機能レベルがWindows Server 2003以上で、DNS（53）、Kerberos（88）、LDAP（389）、SMB（445）などのポートを通す必要があります。

AWS CLIでディレクトリを作成してユーザーを追加する手順

ここでは、東京リージョンにStandard Editionで作り、管理用のEC2を立てずにユーザーを追加するまでをCLIで進めます。コマンドはAWS CLI 1.44.87（botocore 1.42.97）のパラメータ検証を通ることを確認しています。VPCとサブネットのIDは自分の環境の値に置き換えてください。

create-microsoft-adによるStandard Editionの作成

# Standard Editionで作成（--editionを省くとEnterpriseになる）
aws ds create-microsoft-ad \
  --name corp.example.com \
  --short-name CORP \
  --password 'Chang3-Me-Now!' \
  --edition Standard \
  --vpc-settings VpcId=vpc-0123456789abcdef0,SubnetIds=subnet-0aaa1111bbbb2222c,subnet-0ddd3333eeee4444f \
  --region ap-northeast-1

# 作成状況の確認（StageがActiveになれば使える）
aws ds describe-directories \
  --region ap-northeast-1 \
  --query 'DirectoryDescriptions[].{Id:DirectoryId,Edition:Edition,Stage:Stage,DNS:DnsIpAddrs}'

エディションの指定漏れは、想定外の料金につながります。create-microsoft-adのリファレンスでは既定値がEnterpriseで、省略すると東京で月約325ドルのディレクトリができます。Adminのパスワードは8〜64文字で、大文字・小文字・数字・記号のうち3種類以上を含み、「admin」という語は使えません。作成後に返るDNSアドレス（DnsIpAddrs）は、EC2を参加させるときにVPCのDHCPオプションセットへ登録します。

Directory Service Dataによるユーザー作成と既存グループへの追加

従来の方法では、ドメインに参加したWindows（EC2かオンプレミスの端末）に管理ツールを入れてユーザーを作ります。Directory Service Dataを有効にすると、コンソール・CLI・PowerShellからユーザー・グループ・メンバーシップを追加費用なしで作成・更新できます。東京リージョンにも対応しています（Managed Microsoft ADのみで、AD ConnectorとSimple ADは対象外）。

# 1. ディレクトリでDirectory Service Dataを有効にする
aws ds enable-directory-data-access \
  --directory-id d-1234567890 --region ap-northeast-1

# 2. ユーザーを作る（パスワードはこの段階では指定できない）
aws ds-data create-user \
  --directory-id d-1234567890 \
  --sam-account-name jane.doe \
  --given-name Jane --surname Doe \
  --email-address [email protected] \
  --region ap-northeast-1

# 3. パスワードを設定する（無効状態のユーザーも有効になる）
aws ds reset-user-password \
  --directory-id d-1234567890 \
  --user-name jane.doe \
  --new-password 'Str0ng-Passw0rd!' \
  --region ap-northeast-1

# 4. 管理者にする場合のみ実行（一般ユーザーには不要）
aws ds-data add-group-member \
  --directory-id d-1234567890 \
  --group-name 'AWS Delegated Administrators' \
  --member-name jane.doe \
  --region ap-northeast-1

ds-dataのcreate-userにはパスワードの引数がありません（渡すとUnknown optionsで止まります）。パスワードはdsのreset-user-passwordで別に設定します。書き込みは自分のOUと「AWS Delegated Groups」OUのグループに限られ、操作できるのはディレクトリのプライマリリージョンだけです。処理量の上限は、Standardが読み取り8・書き込み4、Enterpriseが読み取り16・書き込み8（いずれも1秒あたりの件数）、同時実行は10件です。数千人を一括で作るなら、この上限に合わせて間隔を空けます。GPOの編集やDNSの細かい設定は従来どおりドメイン参加済みのWindowsから行います。

セキュリティと運用の機能：MFA・監査ログ・証明書・スナップショット

多要素認証：外部のRADIUSサーバー（既定はUDP 1812）と連携し、WorkSpacesなど対応AWSサービスへのアクセスにMFAを適用できる。ADのすべての認証がMFAになるわけではなく、マルチリージョン構成ではプライマリリージョンに限られる。AD Connectorも同じ方式に対応する。
監査：DCのセキュリティイベントログをCloudWatch Logsへ転送できる。AWS側の運用者がDCに対話ログオンした場合もイベントID 4624・4672・4648として記録される。
証明書：2025年9月9日から、AWS Private CA Connector for AD経由でLDAPSやスマートカード認証用の証明書を自動発行・更新できる。EC2上に認証局を立てる必要がなくなった。
セキュリティ設定：2026年5月6日に、米国防情報システム局（DISA）のSTIGに沿った設定項目がディレクトリのセキュリティ設定に加わった。APIとコンソールから変えられる。
マルチリージョン：Enterpriseで最大5リージョンにDCを複製できる。2026年4月1日にオプトインリージョンも対象になった。
バックアップ：自動スナップショットが1日1回取られる。手動スナップショットは1ディレクトリ5個までで、作成から180日を過ぎたものからは復元できない。

リモートワークの入口にAWS Client VPNを使う場合は、Managed Microsoft ADを認証元にしてADのグループ単位で接続を許可できます。AWSアカウントへのログインをADのユーザーで統制したい場合は、IAM Identity CenterのIDソースにつなぐのが基本線です。

つまずきやすい点と上限：パスワード・クォータ・ポート

作成後のトラブルに備え、パスワード、DNS・通信設定、クォータの確認方法を整理します。

Adminのパスワードを忘れた：Directory Serviceはパスワードを保存しないので取り出せない。コンソールの「ユーザーパスワードをリセット」か、上のreset-user-passwordで再設定する。リセットできるのはNetBIOS名のOU配下のユーザーだけで、AWS Reserved OUのユーザーは対象外。
EC2がドメインに参加できない：まずDNSと通信設定を確認する。DHCPオプションセットかEC2のDNSにDnsIpAddrsの2つのアドレスが入っているか、セキュリティグループでVPC外からの通信を止めていないかを見る。
ディレクトリを追加できない：エラー内容と、そのリージョンに適用されているクォータ・現在の使用数を確認する。get-directory-limitsで現在数を確認する。

主な既定の上限は次のとおりです（リージョンごと）。

項目	既定の上限
Standard／Enterpriseのディレクトリ数	20
Hybridのディレクトリ数	5
1ディレクトリのDC数	20
登録できるCA証明書	5
手動スナップショット	5（変更不可）

選び方の判断フローと見送るべきケース

選定は次の順に決めると迷いません。既存のオンプレADがあり、その資格情報でWorkSpacesやEC2を使いたいだけならAD Connectorです。既存ドメインそのものをAWSにも置きたいならHybrid Edition、ドメインを分けてよいならStandard／Enterpriseとフォレスト信頼の組み合わせです。AWS内で完結する新しいADが必要なら、数千人規模・1リージョンまではStandard、それ以上か複数リージョンならEnterpriseを選びます。複数のAWSアカウントで同じディレクトリを使うなら、共有できないAD Connectorは外れます。

用途から逆算すると、仮想デスクトップならAmazon WorkSpaces、Windowsのファイル共有ならAmazon FSx for Windows File ServerがADを前提にしています。既存ADがある場合、WorkSpacesはAD Connector経由でつなげますが、FSxの参加先はManaged Microsoft ADか自己管理ADへの直接参加の2択で、AD Connectorは選べません。既存ADが無ければ、どちらもManaged Microsoft AD（Standard）が基本です。

Managed Microsoft ADを選ばない方がよい場面もはっきりあります。

Webやモバイルアプリの利用者認証：社内ディレクトリのADは過剰。サインアップやソーシャルログインはCognitoの役割。
Domain Adminsが必須の製品を動かしたい：権限が渡らないため、EC2上に自前のADを建てる方が早い。
数十人の検証環境：Enterpriseは月約325ドルで過剰。Standardを無料トライアルの範囲で使い、終わったら削除する。
社内のIDをクラウドに寄せたい：AD自体を減らす方針なら、Microsoft Entra IDなどのIDaaSとの比較が先になる。

オンプレADからの移行や、WorkSpaces・FSxを含めたAWS基盤全体を社内だけで設計するのが難しい場合は、一創のインフラ構築（AWS・Google Cloud・Azure）で、ディレクトリ方式の選定からVPC設計・構築・運用設計までまとめて相談いただけます。

よくある質問：AWS Managed Microsoft ADの料金・違い・エディション変更

MSAD（AWS Managed Microsoft AD）とは何ですか？

AWS Directory Serviceの1種類で、AWSが運用するWindows Server 2019ベースのActive Directoryです。DC2台を別々のAZに置き、パッチや監視、日次のバックアップはAWSが行います。GPO・信頼関係・スキーマ拡張・MFAに対応します。

AWS Managed Microsoft ADの料金はいくらですか？

DC1台・1時間単位の課金で、最低2台です。2026年9月時点の東京リージョンでは、Standardが1時間0.146ドル（月約107ドル）、Enterpriseが1時間0.445ドル（月約325ドル）です。共有先アカウントごとの料金が別にかかります。最初の30日間は1,500DC時間まで無料です。