2026-08-06（木）AWS基礎＋IAM（権限管理）
1. 【この範囲の全体像】
本範囲（第7章7-4・7-5）は、企業規模のマルチアカウント環境やオンプレミスとクラウドが混在するハイブリッド環境において、ユーザーの認証情報をいかに安全かつ効率的に一元管理（シングルサインオン等）するかを扱います [p.187, p.190] 。 AWS Organizations内の複数アカウントやSaaSへのアクセス権限を一元統制する 「 AWS IAM アイデンティティセンター 」 [p.187] 、およびオンプレミスのActive Directory（AD）資産をAWS上に拡張・連携させる3つの選択肢を持つ 「 AWS Directory Service 」 の仕様を深く理解することは [p.190] 、試験で最も配点の高いセキュリティ設計分野を攻略する上で極めて重要な防衛ラインとなります [p.5] 。
2. 【重要キーワード・サービス一覧】
- AWS IAM アイデンティティセンター（旧 AWS Single Sign-On） [p.187] : AWS Organizationsとネイティブに統合し、組織内の複数アカウントや外部SaaSアプリケーションへのログインを一元管理・制御するシングルサインオン（SSO）サービス [p.187] 。
- AWS Directory Service [p.190] : AWS上でMicrosoft Active Directory（AD）を稼働させる、またはオンプレミスのADと認証をハイブリッド連携させるためのマネージドサービス群 [p.190] 。
- AWS Managed Microsoft AD [p.190] : AWS上で実際のWindows Server Active Directoryを冗長構成（マルチAZ）で実行し、AWSがインフラ管理を担うフルマネージドなAD環境 [p.190] 。
- AD Connector [p.190] : AWS上にユーザー情報やディレクトリデータを一切保持・複製せず、AWSへのログイン認証要求のみを既存のオンプレミスADへそのまま安全に転送（プロキシ中継）するコネクター機能 [p.190] 。
- Simple AD [p.190] : Samba 4をベースとしてデプロイされる、安価で軽量なLinuxベースのActive Directory互換ディレクトリサービス [p.190] 。
- 信頼関係（Trust Relationship）: 異なるActive Directoryドメイン間でユーザー認証情報をお互いに信頼し、一方のドメインのユーザーが他方のドメインのリソースへセキュアにアクセスできるようにする認証連携機能。
- SAML 2.0フェデレーション: 外部のアイデンティティプロバイダー（IdP）とAWS IAMの間で、パスワードを共有せずに信頼トークンをやり取りしてシングルサインオンを実現する標準的な業界規格。
3. 【試験で問われる比較ポイント】
① AWS Directory Serviceにおける「3大ディレクトリ」の決定的な使い分け [p.190]
「既存AD資産の有無」「ADとしての機能要件（信頼関係の要否など）」「コスト」の3点から、試験問題に潜むシグナルを読み取って選定します [p.190] 。
| サービスタイプ | AWS上のデータの有無 [p.190] | 主なメリット・物理仕様 [p.190] | 試験における選択シナリオ（なぜ選ぶのか） |
|---|---|---|---|
| AWS Managed Microsoft AD | あり（AWS上にWindows ADの実体を構築・管理する） [p.190] | ・本物のWindows Server ADであるため、AD依存アプリやグループポリシー、スキーマ拡張をフルサポート。 ・オンプレADとの「信頼関係」を構築可能。 |
「オンプレミスにある既存ADドメインと信頼関係を構築してハイブリッド認証を実現したい」または「SQL Serverなどの高度なAD連携機能をAWS側でも100%保持したい」場合。 |
| AD Connector | なし（AWS側には認証情報を一切保持・レプリケーションしない） [p.190] | ・認証要求をオンプレADにプロキシ転送するだけなので、データコピー不可のセキュリティ要件をクリア可能。 ・最も導入コストと運用工数が低い [p.190] 。 |
「セキュリティ上、自社の機密アカウント（パスワード等）をAWSクラウド上に一切同期・保管したくないが、既存のオンプレADアカウントを用いてAWS側（コンソールやWorkSpaces）への認証を行わせたい」場合。 |
| Simple AD | あり（Samba 4ベースの互換環境をAWS上にデプロイする） [p.190] | ・Microsoftのライセンス費用が不要なため、3つのアプローチの中で最も低コスト。 ・オンプレADとの連携は不可 [p.190] 。 |
「オンプレADとの同期や信頼関係は一切不要」で、「AWS上にのみ、独立した小規模（数千人未満）のAD互換システムを最も安価に新規構築したい」場合。 |
4. 【ひっかけ注意ポイント】
-
ひっかけ①：既存のオンプレミスADドメインに登録されている数万人のユーザー認証情報をAWS上のセキュリティリソースへ連携させるため、AWS上に「Simple AD」をデプロイし、オンプレミスADとの間で「双方向の信頼関係」をマッピングする。
- 真実: Simple ADはSamba 4ベースの簡易互換機能であり、オンプレADとの間の「信頼関係（Trust Relationship）」を設定することは物理仕様上一切不可能です [p.190] 。
- 対策: オンプレミスとAWSの間にセキュリティ的な「信頼関係（Trust）」を結んでアカウント共有を実現するハイブリッド要件では、必ず AWS Managed Microsoft AD を選択します [p.190] 。
-
ひっかけ②：各リージョン、および複数アカウントにまたがる膨大なAWSインフラ環境に対し、1つのポータル画面からシングルサインオン（SSO）で安全に各システムへと手動アクセスを分配する統制手法として、「各子アカウントに個別のSAML 2.0フェデレーションを個別にデプロイ・設計する」。
- 真実: アカウント数が極めて多い（マルチアカウント環境）場合、アカウントごとに個別にSAML 2.0などの信頼連携を手動構築していく設計は、構築やセキュリティポリシーの更新（許可セットの変更など）にかかる運用のオーバーヘッドが壊滅的に高くなり、設定ミスの温床となります。
- 対策: AWS Organizations配下のマルチアカウントに対するSSO統制、および権限の一元マッピングは、Organizationsと直結して親アカウントから各子アカウントに対する許可（Permission Sets）を一元管理・配布できる AWS IAM アイデンティティセンター を選択するのが絶対的なベストプラクティスです [p.187] 。
5. 【一問一答セルフテスト】
問1（○×問題）
AWS IAM アイデンティティセンター（旧 AWS Single Sign-On）は、AWS Organizationsと統合されて機能する。これにより、組織内の複数のAWSアカウントに個別にIAMユーザーを手動で作成することなく、一元化された管理ポータルから複数のアカウントやサポートされているSaaSアプリケーションへのログインアクセスを統合管理できる。 （○ か × か） [p.187]
問2（○×問題）
AWS Directory Serviceが提供する「AD Connector」は、既存のオンプレミスActive Directoryに登録されているユーザーのパスワード情報を含む認証情報をAWS上のS3やDynamoDBにバックグラウンドで複製・キャッシュ同期するため、オンプレミスとAWSの間のネットワーク回線が切断されても、AWS WorkSpacesなどのサービスへの認証を継続できる。 （○ か × か） [p.190]
問3（4択問題）
本番システムにおいて、AWS上にデプロイされたWindowsベースの仮想サーバー（EC2）群を管理しています。セキュリティ監査チームから、「現在オンプレミスで運用されている企業内ADドメイン（corp.internal）のログインIDとグループポリシー設定をそのままAWS上でも適用してハイブリッド管理を行いたい」と要求されました。オンプレミスADとドメイン間の信頼関係（Trust Relationship）を正常に構成できる、最も適切なDirectory Serviceのオプションはどれですか。 [p.190]
- A. Simple AD [p.190]
- B. AD Connector [p.190]
- C. AWS Managed Microsoft AD [p.190]
- D. IAM アイデンティティセンター [p.187]
問4（4択問題）
ある企業で、厳格なデータコンプライアンスポリシーにより、「社内の全従業員のパスワードおよびユーザー個人情報をいかなる形態であってもAWSクラウド（外部インターネット側）のデータベースへ複製・格納してはならない」と定義されています。しかし、従業員がAWSマネジメントコンソールへログインする際には、ローカルにある既存のオンプレミスADのアカウント情報をそのまま使用したいという要望があります。コンプライアンスを満たしつつこれを実現できる、最適なサービスはどれですか。 [p.190]
- A. AWS Managed Microsoft AD を構築し、オンプレミスADと片方向の信頼関係を設定する。
- B. AWS上に「Simple AD」をデプロイし、夜間にオンプレミスADからバッチ処理で暗号化してアカウント情報を流し込む。
- C. ネットワーク上に「AD Connector」を配置し、AWSにデータを同期することなくログイン認証クエリをオンプレミスADへ転送（プロキシ）する。
- D. AWS Organizationsの一括請求機能を適用する。
問5（○×問題）
「Simple AD」は、オンプレミスのActive Directory環境が社内に一切存在しない小規模環境において、追加のライセンスコストを発生させることなく、LinuxやWindows EC2などの認証やオブジェクトの簡易的な一元管理をクラウド単独で完結させたい場合に最適な、AD互換ディレクトリである。 （○ か × か） [p.190]
【解答と解説】
解答1：○
- 解説: 記述の通りです [p.187] 。IAM アイデンティティセンターはOrganizationsと直接紐付いて動作するため、親アカウントの管理ポータルから子アカウント全体に対する許可セット（アクセス権限）を一元的かつスマートに制御・配布でき、アカウント数が増加しても運用負荷を低く保つことができます [p.187] 。
解答2：×
- 解説: 誤りです [p.190] 。AD Connectorは、AWSクラウド上にお客様の資格情報を複製（同期）して持つことは一切ありません [p.190] 。ログインの要求を既存のオンプレミスADにリダイレクトして処理するだけの中継プロキシであるため、オンプレミス環境との間のVPNや専用線ネットワーク回線が切断された場合、AWS側でのログインやWorkSpacesの認証処理も同時に停止します。
解答3：C
- 解説: 正解は C. AWS Managed Microsoft AD です [p.190] 。既存のオンプレAD環境とのドメイン信頼関係（Trust Relationship）を構築し、グループポリシーの適用やWindows依存アプリケーションの完全なハイブリッド統合環境を稼働させることができるADは、実際のWindows ADベースである AWS Managed Microsoft AD のみとなります [p.190] 。Simple ADは信頼関係を非サポートであるため誤りです [p.190] 。
解答4：C
- 解説: 正解は C. AD Connector の活用 です [p.190] 。 問題文における決定的なシグナルは、「 AWSに機密ユーザー情報を一切同期（保管・データ複製）させない 」 という制約です。AD Connectorは、データを自社にコピーせずオンプレミスに認証をリダイレクト（プロキシ）する物理仕様であるため、このコンプライアンス要件に完璧にマッピングされる唯一の正解サービスとなります [p.190] 。他のADタイプではクラウド側（AWS上）にディレクトリ実データを持つことになり、NGとなります [p.190] 。
解答5：○
- 解説: 記述の通りです [p.190] 。Simple ADは、オンプレADドメインなどの他システム資産が一切なく、クラウド側で閉じている小規模環境（500〜5000ユーザー未満等の枠）において、Active Directory互換のドメインコントローラー環境を最も安価に（Linux+Samba4ライセンスフリーで）即時稼働させるためのコスト最適化オプションです [p.190] 。
🎧 第7章7-4・7-5（マルチアカウントアクセスとActive Directory統合）の学習、大変お疲れ様でした！
本分野におけるセキュリティ保護とアイデンティティ統制の全体像が完璧になりました。 次は、これら安全に統制された認証基盤のもと、AWS上でより広範なデータを安全に守るカギ管理である 「第8章：セキュリティサービス（KMS、WAF、Secrets Manager）」のインフラ暗号化・エッジ防御設計の復習へとステップを進めましょうか？