すべてのプロダクト
Search

このプロダクト

    Elastic Compute Service:Windows インスタンスでの AD ドメインのデプロイとクライアントの参加

    ドキュメントセンター

    Elastic Compute Service:Windows インスタンスでの AD ドメインのデプロイとクライアントの参加

    最終更新日:May 16, 2026

    Elastic Compute Service (ECS) で Active Directory (AD) ドメイン サービスをデプロイして、ID 検証、認可、およびポリシー制御を一元化します。

    仕組み

    image

    • ドメインコントローラー (DC)： Active Directory ドメイン サービスと DNS を実行します。ドメイン認証と名前解決の中核として機能します。サービスの継続性を確保するため、静的プライベート IP アドレスが必要です。

    • クライアント： ドメインに参加するインスタンスです。DNS サーバーがドメインコントローラーを指すように設定されており、ドメインポリシー管理と統合された ID 検証が可能になります。

    • ネットワーク： ドメインコントローラーとクライアントは同じ VPC および vSwitch 内に配置され、プライベートネットワーク経由で通信します。

    操作手順

    事前準備

    同じ VPC 内に 2 つの ECS インスタンスを作成します。1 つはドメインコントローラー (DC) として、もう 1 つはクライアントとして使用します。この例では、Windows Server 2016 を使用し、次の構成を採用します。

    • VPC CIDR ブロック： 172.31.0.0/16

    • ドメインコントローラー (DC) IP： 172.31.106.88 (静的プライベート IP)

    • クライアント IP： 172.31.106.87 (静的プライベート IP)

    • ルート ドメイン名： example.com

    重要

    既存のドメインコントローラーのカスタムイメージから新しいドメインコントローラーをデプロイしないでください。デプロイする必要がある場合は、新しいインスタンスが元のインスタンスと同じホスト名を持つようにするか、作成後にホスト名を変更してください。

    ステップ 1： ドメインコントローラーのデプロイ

    1. ドメインコントローラーとして使用する ECS インスタンスにログインします。

      1. ECS コンソールに移動します。対象インスタンスのリソースグループとリージョンを選択します。

      2. 対象インスタンスの詳細ページで、接続 > ワークベンチ をクリックし、接続方法を [ターミナル] に設定して、ユーザー名とパスワードを入力してログインします。

    2. AD ドメイン サービスと DNS サーバーの役割をインストールします。

      1. image アイコンを右クリックして [実行] をクリックし、servermanager.exe と入力して Enter キーを押すと、[サーバー マネージャー] が開きます。[役割と機能の追加] をクリックします。

      2. [インストールタイプ] および [サーバー選択] ページでは、デフォルトのままにして、[次へ] をクリックします。

      3. [サーバーの役割] ページで、[Active Directory ドメイン サービス] と [DNS サーバー] を選択し、追加を確認します。

        AD ドメイン サービスは、名前解決とサービス検出に DNS を必要とします。インストーラーは自動的にローカル DNS サーバーを構成し、必要な DNS ゾーンとレコードを作成します。DNS が別のサーバーで実行されている場合は、ゾーンの委任を手動で構成し、AD 関連の DNS レコードを追加し、ネットワーク接続を確保する必要があります。

      4. [インストール] ページが表示されるまで [次へ] をクリックし、インストールをクリックします。 インストールが完了したら、[閉じる] をクリックします。

    3. サーバーをドメインコントローラーに昇格させます。

      役割のインストール後、サーバーをドメインコントローラーに昇格させます。

      1. サーバー マネージャーの右上隅にある黄色の感嘆符アイコンをクリックし、[このサーバーをドメイン コントローラーに昇格する] を選択します。

        image

      2. [デプロイ設定] ページで、[新しいフォレストの追加] を選択し、[ルートドメイン] に example.com などを設定します。

      3. [ドメインコントローラーオプション] ページで、ディレクトリサービス復元モード (DSRM) パスワードを設定します。このパスワードはディザスタリカバリで使用するため、安全に保管してください。

      4. [DNS オプション] ページで、[次へ] をクリックします。

        委任に関する警告は無視してかまいません。この警告は、ウィザードが親 DNS ゾーンへの接続を試みるものの、新しいフォレストのルートドメインには親ゾーンが存在しないために表示されます。これはドメインコントローラーの機能には影響しません。

      5. [その他のオプション] ページでは、NetBIOS ドメイン名 (EXAMPLE など) が自動生成されます。[次へ] をクリックします。

      6. 残りのステップはデフォルトのままにし、[前提条件チェック] がパスしたら、[インストール] をクリックします。インストール後、サーバーは自動的に再起動します。

    4. ドメインコントローラーのステータスを確認します。

      再起動後、インスタンスに再接続します。image アイコンを右クリックし、[ファイル名を指定して実行] をクリックして、control system と入力し、Enter キーを押します。コンピューター名とドメインを確認します。正しければ、インストールは成功です。查看DC安装结果.png

    ステップ 2： クライアントの AD ドメインへの参加

    ドメインコントローラーのデプロイ後、クライアントインスタンスをドメインに参加させて一元管理を実現します。

    1. クライアントとして使用する ECS インスタンスにログインします。

      1. ECS コンソールに移動します。対象インスタンスのリソースグループとリージョンを選択します。

      2. 対象インスタンスの詳細ページに移動し、接続 > ワークベンチ をクリックします。[ターミナル] を選択し、ユーザー名とパスワードを入力して、ログオンします。

    2. クライアントの DNS を構成します。

      クライアントの DNS サーバーのアドレスをドメインコントローラーのプライベート IP アドレスに設定して、ドメインを解決し、DC を検出できるようにします。

      1. image アイコンを右クリックし、[実行] をクリックし、ncpa.cpl を入力して Enter キーを押すと、ネットワーク接続が開きます。

      2. [イーサネット] を右クリックし、[プロパティ] を選択します。[インターネット プロトコル バージョン 4 (TCP/IPv4)] を選択し、[プロパティ] をクリックします。[次の DNS サーバーのアドレスを使う] を選択し、DNS サーバーアドレスを ステップ 1 のドメインコントローラーの IP に設定します。

        填写DNS服务器地址.png

    3. クライアントをドメインに参加させます。

      1. image アイコンを右クリックし、[実行] をクリックします。control system と入力して Enter キーを押します。[コンピューター名、ドメインおよびワークグループの設定] 領域で、[設定の変更] をクリックします。Change settings.png

      2. [システムプロパティ] ページで、[変更] をクリックします。Click Change.png

      3. [コンピューター名/ドメインの変更] ページで、AD ドメイン情報を入力します。

        ステップ 1： ドメインコントローラーのデプロイで設定したルート ドメイン名 (例： example.com) を入力します。

      4. 変更を有効にするため、サーバーを再起動します。

    4. ドメイン参加ステータスを確認します。

      image アイコンを右クリックし、[実行] をクリックして control system と入力し、Enter キーを押します。完全なコンピューター名とドメイン名に AD ルートドメインが含まれている場合、クライアントはドメインに正常に参加しています。

      AD ドメインのセットアップとクライアントの参加が完了したら、ユーザーや組織単位の作成などの操作を実行できます。詳細については、「Active Directory Domain Services Overview」をご参照ください。

      成功加入AD域.png

    重要

    ドメインコントローラーは常に静的 IP アドレスを使用するようにしてください。IP アドレスが変更されると、古い IP アドレスをキャッシュしているクライアントは接続に失敗し、ドメイン認証エラーが発生します。すべてのクライアントで DNS サーバーの構成を手動で更新し、ドメインコントローラーの新しい IP アドレスを指すようにする必要があります。

    よくある質問

    "The security database on the server does not have a computer account for this workstation trust relationship" エラーを修正するにはどうすればよいですか?

    原因： ドメイン メンバーの ECS インスタンスとドメインコントローラー (DC) 間の信頼関係が破損しています。考えられる原因は次のとおりです。

    • スナップショットの復元： インスタンスが古いスナップショットに復元され、ローカルに保存されているマシンパスワードと AD のパスワードが一致しなくなりました。

    • SID の競合： システム準備 (Sysprep) ツールを実行せずにカスタムイメージから複数のインスタンスが作成され、コンピューター名の重複または SID の競合が発生しました。

    • 長期オフライン状態： インスタンスが 30 日以上シャットダウンまたは切断され、マシンアカウントのパスワードが期限切れになりました。

    • AD での誤削除： 管理者がコンピューターアカウントを手動でリセットまたは削除しました。

    解決策：

    解決策 1： PowerShell を使用したクイック修復 (推奨)
    ドメインから離脱することなく、オンラインでセキュア チャネルを修復します。







    1. ローカル管理者アカウントで ECS インスタンスにログインします。

    2. 管理者として次の PowerShell コマンドを実行します。

      Test-ComputerSecureChannel -Repair -Credential (Get-Credential)

    3. ポップアップウィンドウで、ドメイン管理者の認証情報を入力します。

    4. 結果を確認します。

      • True が返された場合、修復は成功です。インスタンスを再起動して、ドメインアカウントでのログインを復旧します。

      • False が返されるか、エラーが発生した場合は、解決策 2 に進んでください。

    解決策 2： ドメインから離脱して再参加する

    1. ローカル管理者アカウントで ECS インスタンスにログインします。

    2. ドメインから離脱する：

      1. 「この PC」を右クリックし、[プロパティ] > [設定の変更] を選択し、[変更] をクリックします。

      2. メンバーシップを[ワークグループ]に変更します (例: WORKGROUP)。

      3. ドメイン管理者の認証情報を入力して確認します。操作が成功したら、再起動します。

    3. コンピューターアカウントのリセット: ドメインコントローラーで、コンピューターアカウントを見つけて右クリックし、[アカウントのリセット] を選択します。

    4. ドメインに再参加する：

      1. [コンピューター名/ドメイン名の変更] ウィンドウに再度移動します。

      2. [所属] には、[ドメイン] を選択し、ドメイン名を入力します。

      3. ドメイン管理者の認証情報を入力して確認します。操作が成功したら、再起動します。

    5. 再起動後、エラーが解決されたことを確認します。

    クライアントを AD ドメインに参加させるときに "The domain join cannot be completed because the SID of the domain you attempted to join was identical to the SID of this machine" エラーが表示された場合、どうすればよいですか?

    原因： 同じカスタム イメージから作成された複数の ECS インスタンスが、同じコンピューター SID とコンピューター名を共有しています。あるインスタンスがドメインコントローラーと通信すると、同じ SID を持つ他のインスタンスが競合を引き起こし、信頼関係が破損します。

    解決策：

    Windows システム準備 (Sysprep) ツールを使用して SID を再生成します。

    1. ECS インスタンスで、Sysprep.exe を探します。通常、C:\Windows\System32\Sysprep にあります。

    2. Sysprep.exe を管理者として実行して、[一般化] オプションを選択し、[OK] をクリックします。

    3. システムが再起動すると、SID が再生成されます。再度 AD ドメインへの参加を試してください。