助け合いフォーラム

AWS

AWS ソリューションアーキテクト - アソシエイト(SAA-C03)
問題ID : 30675
問題を開く
ある会社はオンプレミスで複数のWindowsサーバーによるWebアプリケーションを運用している。各WindowsサーバーはMicrosoft Active Directory(AD)で管理されている。同社はAWSへWebアプリケーションの移行を計画しており、各WindowsサーバーをEC2 Windowsインスタンスに切り替える予定である。なお、オンプレミスのADはWebアプリケーションが動作しているWindowsサーバー群のみ管理している。
AWSへ移行するにあたり、運用にかかる負荷が最小限になる方法は次のうちどれか。

正解

AWS Directory Serviceを作成してWindowsインスタンス群を管理する

解説

AWS Directory Serviceは、MicrosoftのActive Directory (AD) をAWS上で提供するマネージドサービスです。
ADはネットワーク上のリソース情報(ユーザアカウントやデバイスなど)を一元管理でき、ユーザーやWindowsサーバーの管理・認証ができます。AWS Directory Serviceも同様の機能を持つので、オンプレミスのADと同様にWindowsインスタンス群を管理できます。

したがって正解は
・AWS Directory Serviceを作成してWindowsインスタンス群を管理する
です。

その他の選択肢については、以下のとおりです。

・Windowsインスタンス群の中から1つにADを導入して、他のWindowsインスタンスを管理する
各WindowsインスタンスはWebアプリケーションを展開しているのでインターネットからのアクセスがあります。インターネットからアクセス可能なインスタンスにADを導入すると、ADへの不正アクセスの恐れがあります。
セキュリティ上、適切ではないので誤りです。

・AD用のEC2インスタンスを作成してWindowsインスタンス群を管理する
AD用のEC2インスタンスの運用が発生します。
マネージドサービスであるAWS Directory Serviceを利用する方が、運用にかかる負荷が最小限になるので誤りです。

・オンプレミスのADと連携したAWS Directory Serviceを作成して、Windowsインスタンス群を管理する
AWS Directory Serviceは、オンプレミスのADと同様にWindowsインスタンス群を管理できます。
オンプレミスのADと連携する必要はないので、誤りです。

参考

【AWS Directory Service】
AWS Directory Serviceは、MicrosoftのActive Directory (AD) をAWS上で提供するマネージドサービスです。
ADはネットワーク上のリソース情報(ユーザアカウントやデバイスなど)を一元管理でき、ユーザーやWindowsサーバーの管理・認証ができます。AWS Directory Serviceも同様の機能を持つのに加え、他のAWSサービスと連携することでAWSサービスへの認証にADを利用できます。
上に戻る

問題文が情報不足

公開日 2023/12/27

問題文中に「オンプレミスのADはWebアプリケーションが動作しているWindowsサーバー群のみ管理している」との記述がありますが、これではADの同期要件が不明確です。問題文は、オンプレミスのADとの連携や同期の必要性についてより明確にするべきです。
問題文は、オンプレミスのADと新しいAWS Directory Serviceとの間で発生する運用負荷についてもっと明確に言及する必要があります。特に、2重のディレクトリサービス管理が運用負荷に与える影響を強調することが重要です。

Active Directory(AD)と同期しない=新たにActive Directory(AD)を構築する必要があるのですが、たとえAWS ManagedのActive Directory(AD)で新規で構築してもこちらの方が負荷が高くないでしょうか。
Active Directory(AD)における既存のユーザーアカウント、グループポリシーはすべてこのAWS Directory Serviceで同じことが実現できるかの検証やテストはもとより、問題で問われている運用面においてもADの管理が2重になるので負荷が増える気しかしないのです。

一応、問題に”なお、オンプレミスのADはWebアプリケーションが動作しているWindowsサーバー群のみ管理している。”となっていますが、これでは弱いです。だから、オンプレADを辞めて、AWS Directory Serviceに完全移行したら楽だね。という風にはなりませんし、不明確です。

とても紛らわしいので、”なお、オンプレミスのADはWebアプリケーションが動作しているWindowsサーバー群のみ管理している。”の言葉を消し、
”オンプレミスのADはWebアプリケーションが動作しているWindowsサーバー群以外のサーバーも管理している。”として、ADの同期が必須である。でないと2重管理になる。ということにして、設問の回答を

”オンプレミスのADと連携したAWS Directory Serviceを作成して、Windowsインスタンス群を管理する”
とすればよいのではないでしょうか。

回答を
”AWS Directory Serviceを作成してWindowsインスタンス群を管理する”
にした場合の誤りの理由については
設問ではオンプレADを利用しており、AWS Directory Serviceを新たに構築すると、Direcotory serviceを2重管理しなくてはならず、運用の負荷が増えることが想定されることから誤りです。

とできるのではないでしょうか。

2023/12/28 10:15

設問に

同社はAWSへWebアプリケーションの移行を計画しており、各WindowsサーバーをEC2 Windowsインスタンスに切り替える予定
オンプレミスのADはWebアプリケーションが動作しているWindowsサーバー群のみ管理している

とあるので、オンプレミスのAD環境すべてAWS上に移行することを要件をしていると思いました。

オンプレミスAD環境の一部を残したい要件が見当たらなかったのですが、何から「オンプレADを辞めて、AWS Directory Serviceに完全移行したら楽だね。という風にはなりませんし、不明確です。」と判断されたのでしょうか?


コメント

g genpana

2023/12/29 02:47

各WindowsサーバーをEC2 Windowsインスタンスに切り替える予定である。 →これはつまり、各オンプレミスのWindowsサーバー WindowsServer(AD) WindowsServer(App1) WindowsServer(App2) WidowseServer(App*)... をすべてEC2のWindowsインスタンスにきかえるんだな。と判断できるのかなと思いました。 ですので、”なお、オンプレミスのADはWebアプリケーションが動作しているWindowsサーバー群のみ管理している。” という文が=ADを移行しなくてもよいよとうメッセージなのかなっとも思いましたが、だとすると”各WindowsサーバーをEC2 Windowsインスタンスに切り替える”という文と矛盾する部分でもあり、この点が不明確である思っております。

b birdpixy

2023/12/31 14:26

> 各WindowsサーバーをEC2 Windowsインスタンスに切り替える予定である。 > →これはつまり、各オンプレミスのWindowsサーバー > WindowsServer(AD) > WindowsServer(App1) > WindowsServer(App2) > WidowseServer(App*)... > をすべてEC2のWindowsインスタンスにきかえるんだな。と判断できるのかなと思いました。 これは私も同意です。 > ですので、”なお、オンプレミスのADはWebアプリケーションが動作しているWindowsサーバー群のみ管理している。” > という文が=ADを移行しなくてもよいよとうメッセージなのかなっとも思いましたが、だとすると”各WindowsサーバーをEC2 Windowsインスタンスに切り替える”という文と矛盾する部分でもあり、この点が不明確である思っております。 EC2に切り替え予定のWindowsサーバー群のみ管理している=切り替えた後はオンプレミスのADは必要なくなる と解釈すれば問題の解説の矛盾しなくなると思います。

g genpana

2024/01/03 06:15

>EC2に切り替え予定のWindowsサーバー群のみ管理している=切り替えた後はオンプレミスのADは必要なくなる >と解釈すれば問題の解説の矛盾しなくなると思います。 すいません、このような解釈ですが、 「EC2に切り替え予定のWindowsサーバー群のみ管理している」ですが、実際の問題文は 「オンプレミスのADはWebアプリケーションが動作しているWindowsサーバー群のみ管理している」 であり、”切り替え予定のWindowsサーバー群”という意味が問題文から読み取れませんでした。 大変お手数ですが、問題文のどこから”切り替え予定はWindowsのWebサーバーのみである”と読み取れるのか、もう少し説明を付け加えていただけたら助かります。。

c chmod007

2024/01/06 11:04

脳内変換のような気がしました。 「りんご1個、みかん1個、合わせていくつでしょう?」という問題に 「2個」と答えるか「りんごとみかんは、合わせられません」と答えるか、 そんな感じですかね。 自分も開設を見て、実運用面において「同期とかどうするのだろう?」とは思ったものの、そもそもの本学習の目的は「資格を取りたい」なので、実運用面の細かい考慮は排除しました。技術者として、それどうなんだ?と問われると・・・ですが。

b birdpixy

2024/01/07 14:41

> 大変お手数ですが、問題文のどこから”切り替え予定はWindowsのWebサーバーのみである”と読み取れるのか、もう少し説明を付け加えていただけたら助かります。。 問題文から抜粋しますが ・AWSへWebアプリケーションの移行を計画 ・各WindowsサーバーをEC2 Windowsインスタンスに切り替える ・オンプレミスのADはWebアプリケーションが動作しているWindowsサーバー群のみ管理している ここから「Webアプリケーションが動作しているWindowsサーバーを、EC2インスタンスに切り替える」と読み取れませんか? WebアプリケーションをAWSへ移行したら、オンプレミスのWebアプリケーションが動作していたWindowsサーバーも、それを管理していたADサーバーも必要なくなります。

c chmod007

2024/01/14 10:41

問題ID : 36841の解説には、「AWS Directory Serviceは、MicrosoftのADをAWS上で提供するマネージドサービスですが、新たにAWS上にADを構築するには手間がかかります。」 と記載されてました。 こういうのを読むと「うーむ。。。どっちやねん。」と感じちゃいますね。

この返信に対して
コメントを記入できます

2024/01/05 13:43

・・・、これではADの同期要件が不明確です。
オンプレミスのADと新しいAWS Directory Serviceとの間で発生する運用負荷についてもっと明確に…
これでは弱いです。だから、オンプレADを辞めて、AWS Directory Serviceに完全移行したら楽だね。という風にはなりませんし…
とても紛らわしいので、”なお、オンプレミスのADはWebアプリケーションが動作しているWindowsサーバー群のみ管理している。”の言葉を消し…

そのような「問われている部分以外の、問題の裏の裏」まで考察する必要は無いように思います。
そんなことをしていると、回答の時間が無くなります。
ただ単純に、「WebアプリケーションサーバはADで連携されているんだなぁ」「ADはWebアプリケーションサーバのみで使われているんだなぁ」
「AWSに移行した方が得をする状況なんだろうなぁ」くらいで充分でしょう。
「そこは『その会社に、それを善しとする事情と条件がある』ので、そういう構成にしている」と割り切るべきです。

『オンプレミスのADと新しいAWS Directory Serviceとの間で発生する運用負荷』

問題文中「WindowsサーバーをEC2 Windowsインスタンスに切り替える」とあることから、
オンプレのWindowsサーバはすべてAWS移行、と考えるのが自然です。
そのうえで、上記の一文をどのように解釈しているかは判然としませんが、
「オンプレ・AWSのAD同時運用 or オンプレAD・AWS DS間連携」という観点であれば、誤答として解説されています。


コメント

この返信に対して
コメントを記入できます

この投稿に対して返信しませんか?