翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
# AWS Managed Microsoft AD とセルフマネージド AD 間の信頼関係の作成
AWS Directory Service for Microsoft Active Directory とセルフマネージド (オンプレミス) ディレクトリ間、および AWS クラウド内の複数の AWS Managed Microsoft AD ディレクトリ間で、一方向および双方向の外部信頼関係とフォレスト信頼関係を設定できます。 AWS マネージド Microsoft AD は、受信、送信、双方向 (双方向) の 3 つの信頼関係のすべての指示をサポートしています。
信頼関係の詳細については、[AWS 「 Managed Microsoft AD との信頼について知っておくべきこと](https://aws.amazon.com/blogs//security/everything-you-wanted-to-know-about-trusts-with-aws-managed-microsoft-ad/)」を参照してください。
**注記**
信頼関係を設定するときは、セルフマネージドディレクトリが Directory Serviceと互換性があり、引き続き互換性があることを確認する必要があります。お客様の責任の詳細については、「[責任共有モデル](https://aws.amazon.com/compliance/shared-responsibility-model)」を参照してください。
AWS Managed Microsoft AD は、外部信頼とフォレスト信頼の両方をサポートしています。フォレスト信頼の作成方法を示すシナリオの例については、「[チュートリアル: AWS Managed Microsoft AD とセルフマネージド Active Directory ドメインの間に信頼関係を作成する](ms_ad_tutorial_setup_trust.md)」を参照してください。
Amazon Chime、Amazon Connect、Quick、 AWS IAM アイデンティティセンター、WorkDocs、Amazon WorkMail、Amazon WorkSpaces、 などの AWS エンタープライズアプリには双方向の信頼が必要です AWS マネジメントコンソール。 AWS マネージド Microsoft AD は、セルフマネージド Active Directory 内のユーザーとグループをクエリできる必要があります。
選択認証を有効にすると、 AWS アプリケーション固有のサービスアカウントのみがセルフマネージド Active Directory をクエリできます。詳細については、[AWS 「 Managed Microsoft AD との AWS アプリ統合のセキュリティを強化する](https://aws.amazon.com//blogs/modernizing-with-aws/enhance-security-of-your-aws-app-integration-with-aws-managed-microsoft-ad/)」を参照してください。
Amazon EC2、Amazon RDS、および Amazon FSx は、一方向または双方向のいずれかの信頼で動作します。
## 前提条件
信頼の作成は数ステップのみで完了しますが、信頼を設定する前に、いくつかの前提条件の手順を完了しておく必要があります。
**注記**
AWS Managed Microsoft AD は、[単一ラベルドメイン](https://support.microsoft.com/en-us/help/2269810/microsoft-support-for-single-label-domains)との信頼をサポートしていません。
### VPC に接続する
自己管理型ディレクトリとの信頼関係を作成する際には、まず、自己管理型ネットワークを AWS Managed Microsoft AD を含む Amazon VPC に接続しておく必要があります。セルフマネージドおよび AWS Managed Microsoft AD ネットワークのファイアウォールでは、 Microsoftドキュメントの [Windows Server 2008 以降のバージョン](https://docs.microsoft.com/en-us/troubleshoot/windows-server/identity/config-firewall-for-ad-domains-and-trusts#windows-server-2008-and-later-versions)に記載されているネットワークポートが開いている必要があります。
Amazon WorkDocs や Amazon Quick などの AWS アプリケーションで認証に完全なドメイン名の代わりに NetBIOS 名を使用するには、ポート 9389 を許可する必要があります。Active Directory ポートとプロトコルの詳細については、Microsoft ドキュメントの「[Windows のサービス概要およびネットワークポート要件](https://learn.microsoft.com/en-US/troubleshoot/windows-server/networking/service-overview-and-network-port-requirements#system-services-ports)」を参照してください。
これらは、ディレクトリに接続するために必要な最小限のポートです。固有の設定によっては、追加ポートが開かれていることが必要です。
### VPC の設定
AWS Managed Microsoft AD を含む VPC には、適切なアウトバウンドルールとインバウンドルールが必要です。
**VPC のアウトバウンドルールを設定するには**
1. [AWS Directory Service コンソール](https://console.aws.amazon.com/directoryservicev2/)の**ディレクトリの詳細**ページで、 AWS Managed Microsoft AD ディレクトリ ID を書き留めます。
1. Amazon VPC コンソール ([https://console.aws.amazon.com/vpc/](https://console.aws.amazon.com/vpc/)) を開きます。
1. **[Security Groups]** (セキュリティグループ) をクリックします。
1. AWS Managed Microsoft AD ディレクトリ ID を検索します。検索結果で、*「ディレクトリ ID* ディレクトリコントローラー用にAWS 作成されたセキュリティグループ」という説明の項目を選択します。
**注記**
選択したセキュリティグループは、最初にディレクトリを作成する際に自動的に作成されるセキュリティグループです。
1. そのセキュリティグループの **[Outbound Rules]** (アウトバウンドルール) タブを開きます。**[Edit]** (編集)、**[Add another rule]** (別のルールの追加) の順に選択します。新しいルールに、次の値を入力します。
+ **[Type]** (タイプ): All Traffic
+ **[Protocol]** (プロトコル): All
+ **[Destination]** (送信先) は、ドメインコントローラーから発信されるトラフィックと、(自己管理型ネットワーク内にある) そのトラフィックの送信先を指定します。単一の IP アドレスまたは IP アドレス範囲を CIDR 表記で指定します (例: 203.0.113.5/32)。同じリージョン内にある別のセキュリティグループの、名前または ID を指定することもできます。詳細については、「[ディレクトリ AWS のセキュリティグループ設定を理解し、 を使用する](ms_ad_best_practices.md#understandsecuritygroup)」を参照してください。
1. **[Save]** (保存) をクリックします。
### Kerberos 事前認証を有効にする
お客様のユーザーは、アカウント内で Kerberos 事前認証を有効にしておく必要があります。この設定の詳細については、Microsoft TechNet の「[Microsoft](http://technet.microsoft.com/en-us/library/cc961961.aspx)」(事前認証) を参照してください。
### 自己管理型ドメインで DNS 条件付きフォワーダーを設定する
自己管理型ドメインでは、DNS 条件付きフォワーダーを設定する必要があります。条件付きフォワーダーの詳細については、Microsoft TechNet の「[Assign a Conditional Forwarder for a Domain Name](https://technet.microsoft.com/en-us/library/cc794735.aspx)」(ドメイン名の条件フォワーダーの割り当て) を参照してください。
以下の手順を実行するには、以下の自己管理型ドメイン用 Windows Server ツールに対するアクセス権限が必要です。
+ AD DS ツールと AD LDS ツール
+ DNS
**自己管理型ドメインで DNS の条件付きフォワーダーを設定するには**
1. まず、 AWS Managed Microsoft AD に関する情報を取得する必要があります。 AWS マネジメントコンソール にサインインして [AWS Directory Service コンソール](https://console.aws.amazon.com/directoryservicev2/)を開きます。
1. ナビゲーションペインで **[Directories]** (ディレクトリ) をクリックします。
1. AWS Managed Microsoft AD のディレクトリ ID を選択します。
1. 完全修飾ドメイン名 (FQDN) とディレクトリの DNS アドレスを書き留めます。
1. 次に、自己管理型ドメインコントローラーに戻ります。サーバーマネージャーを開きます。
1. **[Tools]** (ツール) メニューで、**[DNS]** を選択します。
1. 信頼関係を設定するドメインの DNS サーバーを、コンソールのツリーから展開します。
1. コンソールのツリー内で、**[Conditional Forwarders]** (条件付きフォワーダー) を選択します。
1. **[Action]** (アクション) メニューから、**[New conditional forwarder]** (新規の条件付きフォワーダー) を選択します。
1. **DNS ドメイン**で、前述の AWS Managed Microsoft AD の完全修飾ドメイン名 (FQDN) を入力します。
1. **プライマリサーバーの IP アドレス**を選択し、前述の AWS Managed Microsoft AD ディレクトリの DNS アドレスを入力します。
DNS アドレスの入力後に、「timeout」または「unable」というエラーが表示される場合があります。通常、このエラーは無視できます。
1. **[Store this conditional forwarder in Active Directory and replicate as follows: All DNS servers in this domain]** (この条件付きフォワーダーを Active Directory 内に保存し次のようにレプリケートします: このドメインのすべての DNS サーバー) を選択します。**[OK]** をクリックします。
### 信頼関係のパスワード
既存のドメインとの間の信頼関係を作成している場合は、Windows Server 管理ツールを使用して、そのドメインに対する信頼関係を設定します。その際に、使用する信頼のパスワードを書き留めます。 AWS Managed Microsoft AD で信頼関係を設定するときは、同じパスワードを使用する必要があります。詳細については、Microsoft TechNet の「[Managing Trusts](https://technet.microsoft.com/en-us/library/cc771568.aspx)」(信頼の管理) を参照してください。
これで、 AWS Managed Microsoft AD で信頼関係を作成する準備ができました。
### NetBIOS とドメイン名
信頼関係を確立するには、NetBIOS とドメインの名前は異なる一意のものである必要があります。
## 信頼関係を作成、検証、または削除する
**注記**
信頼関係は AWS Managed Microsoft AD のグローバル機能です。[AWS Managed Microsoft AD のマルチリージョンレプリケーションを設定する](ms_ad_configure_multi_region_replication.md) を使用している場合、[プライマリリージョン](multi-region-global-primary-additional.md#multi-region-primary) で次の手順を実行する必要があります。変更した内容は、レプリケートされたすべてのリージョンで自動的に適用されます。詳細については、「[グローバル機能とリージョン機能](multi-region-global-region-features.md)」を参照してください。
**AWS Managed Microsoft AD との信頼関係を作成するには**
1. [AWS Directory Service コンソール](https://console.aws.amazon.com/directoryservicev2/) を開きます。
1. **ディレクトリ**ページで、 AWS Managed Microsoft AD ID を選択します。
1. **[Directory details]** (ディレクトリ詳細) ページで、以下のいずれかの操作を行います。
+ **[Multi-Region replication]** (マルチリージョンレプリケーション) の下に複数のリージョンが表示されている場合は、プライマリリージョンを選択した上で、**[Networking & security]** (ネットワークとセキュリティ) タブを開きます。詳細については、「[プライマリリージョンと追加のリージョン](multi-region-global-primary-additional.md)」を参照してください。
+ **[Multi-Region replication]** (マルチリージョンレプリケーション) の下にリージョンが表示されない場合は、**[Networking & security]** (ネットワークとセキュリティ) タブを選択します。
1. **[Trust relationships]** (信頼関係) セクションで、**[Actions]** (アクション)、**[Add trust relationship]** (信頼関係の追加) の順に選択します。
1. **[Add a trust relationship]** (信頼関係の追加) ページで、信頼タイプ、信頼されたドメインの完全修飾ドメイン名 (FQDN)、信頼パスワード、信頼の方向など、必要な情報を入力します。
1. (オプション) Managed AWS Microsoft AD ディレクトリ内のリソースへのアクセスを許可されたユーザーのみに許可する場合は、オプションで **Selective authentication** チェックボックスを選択できます。選択的な認証に関する全般的な情報については、Microsoft TechNet の「[Security Considerations for Trusts](https://technet.microsoft.com/pt-pt/library/cc755321(v=ws.10).aspx)」(信頼のセキュリティ上の考慮事項) を参照してください。
1. **[Conditional forwarder]** (条件付きフォワーダー) に、自己管理型 DNS サーバーの IP アドレスを入力します。すでに条件付きフォワーダを作成済みな場合は、DNS IP アドレスではなく、自己管理型ドメインの FQDN を入力できます。
1. (オプション) **[Add another IP address]** (別の IP アドレスの追加) をクリックした後、追加する自己管理型 DNS サーバーの IP アドレスを入力します。このステップは、適用可能な DNS サーバーアドレスごとに、合計 4 つのアドレスまで繰り返すことができます。
1. **[Add]** (追加) を選択します。
1. 自己管理型ドメインの DNS サーバーまたはネットワークで、パブリックな (RFC 1918 を除く) IP アドレススペースを使用している場合は、**[IP routing]** (IP ルーティング) セクションで、**[Actions]** (アクション)、**[Add route]** (ルートの追加) の順に選択します。CIDR 形式 (例: 203.0.113.0/24) を使用して、DNS サーバーまたは自己管理型ネットワークの IP アドレスブロックを入力します。このステップは、DNS サーバーと自己管理型ネットワークの両方で、RFC 1918 IP アドレススペースを使用している場合は必要ありません。
**注記**
パブリック IP アドレススペースを使用している場合、[AWS の IP アドレス範囲](https://ip-ranges.amazonaws.com/ip-ranges.json)を指定しないようにしてください。これらの範囲は使用できません。
1. (オプション) **[Add routes]** (ルートの追加) ページを表示している際は、同時に **[Add routes to the security group for this directory's VPC]** (このディレクトリの VPC のセキュリティグループにルートを追加します) も選択することを推奨します。これにより、上記の「VPC を設定する」に記述したセキュリティグループが設定されます。これらのセキュリティルールは、パブリックに公開されていない内部ネットワークインターフェイスに影響します。このオプションを使用できない場合は、セキュリティグループをすでにカスタマイズしていることを示すメッセージが表示されます。
信頼関係は、双方のドメインで設定する必要があります。この関係は、補完的であることが必要です。例えば、片側のドメインで送信の信頼を作成した場合は、もう一方のドメインでは受信の信頼を作成します。
既存のドメインとの間の信頼関係を作成している場合は、Windows Server 管理ツールを使用して、そのドメインに対する信頼関係を設定します。
AWS Managed Microsoft AD とさまざまな Active Directory ドメインの間に複数の信頼を作成できます。ただし、各ペアが一度に保持できる信頼関係は 1 つのみです。例えば、既に一方向の「受信方向」が存在し、その上で「送信方向」で別の信頼関係を設定する場合は、まず既存の信頼関係を削除してから、新たに「双方向」の信頼を作成します。
**送信の信頼関係を確認するには**
1. [AWS Directory Service コンソール](https://console.aws.amazon.com/directoryservicev2/)を開きます。
1. **ディレクトリ**ページで、 AWS Managed Microsoft AD ID を選択します。
1. **[Directory details]** (ディレクトリ詳細) ページで、以下のいずれかの操作を行います。
+ **[Multi-Region replication]** (マルチリージョンレプリケーション) の下に複数のリージョンが表示されている場合は、プライマリリージョンを選択した上で、**[Networking & security]** (ネットワークとセキュリティ) タブを開きます。詳細については、「[プライマリリージョンと追加のリージョン](multi-region-global-primary-additional.md)」を参照してください。
+ **[Multi-Region replication]** (マルチリージョンレプリケーション) の下にリージョンが表示されない場合は、**[Networking & security]** (ネットワークとセキュリティ) タブを選択します。
1. **[Trust relationships]** (信頼関係) セクションで検証する信頼を選択した後、**[Actions]** (アクション)、**[Verify trust relationship]** (信頼関係の検証) の順に選択します。
このプロセスは、双方向信頼の送信方向のみを検証します。 AWS は、受信信頼の検証をサポートしていません。自己管理型 Active Directory との間で信頼関係を確認する方法の詳細については、Microsoft TechNet の「[Verify a Trust](https://technet.microsoft.com/en-us/library/cc753821.aspx)」(信頼を検証する) を参照してください。
**既存の信頼関係を削除するには**
1. [AWS Directory Service コンソール](https://console.aws.amazon.com/directoryservicev2/)を開きます。
1. **ディレクトリ**ページで、 AWS Managed Microsoft AD ID を選択します。
1. **[Directory details]** (ディレクトリ詳細) ページで、以下のいずれかの操作を行います。
+ **[Multi-Region replication]** (マルチリージョンレプリケーション) の下に複数のリージョンが表示されている場合は、プライマリリージョンを選択した上で、**[Networking & security]** (ネットワークとセキュリティ) タブを開きます。詳細については、「[プライマリリージョンと追加のリージョン](multi-region-global-primary-additional.md)」を参照してください。
+ **[Multi-Region replication]** (マルチリージョンレプリケーション) の下にリージョンが表示されない場合は、**[Networking & security]** (ネットワークとセキュリティ) タブを選択します。
1. **[Trust relationships]** (信頼関係) セクションで、削除する信頼を選択した上で、**[Actions]** (アクション)、**[Delete trust relationship]** (信頼関係の削除) の順に選択します。
1. **[Delete]** (削除) をクリックします。