はじめに

AWS上にWindows Serverを構築し、Active Directory（AD）ドメインコントローラーとして昇格させるまでの手順をまとめました。
インフラ構築の自動化（IaC）としてTerraformを使用し、コストを抑えるためにすべてAWSの無料枠対象（t2.micro / SSD 30GB）の範囲内で実装しています。

1. TerraformによるWindows Serverのコード化（IaC）

まずはベースとなるWindows Serverの構築コードです。最新のWindows Server 2022のAMIを自動取得し、キーペアの生成とローカルへのダウンロードまでを自動化しています。

`main.tf`

provider "aws" {
  region = "ap-northeast-1" # 東京リージョン
}

# 無料対象の最新のWindows Server AMIを自動取得
data "aws_ami" "windows_latest" {
  most_recent = true
  owners      = ["amazon"]

  filter {
    name   = "name"
    values = ["Windows_Server-2022-English-Full-Base-*"]
  }

  filter {
    name   = "virtualization-type"
    values = ["hvm"]
  }
}

# 1台目：ADサーバーの定義
resource "aws_instance" "windows_free" {
  ami           = data.aws_ami.windows_latest.id
  instance_type = "t2.micro" # 無料枠対象

  key_name = aws_key_pair.windows_keypair.key_name 

  root_block_device {
    volume_size           = 30 # 無料枠の上限
    volume_type           = "gp3"
    delete_on_termination = true
  }

  tags = {
    Name = "Windows-Free-Tier"
  }
}

# 2台目：ドメイン参加テスト用クライアントの定義
resource "aws_instance" "windows_client" {
  ami           = data.aws_ami.windows_latest.id
  instance_type = "t2.micro" # 無料枠対象

  key_name = aws_key_pair.windows_keypair.key_name 

  root_block_device {
    volume_size           = 30 # 無料枠の上限
    volume_type           = "gp3"
    delete_on_termination = true
  }

  tags = {
    Name = "Windows-Client-PC"
  }
}

# --- キーペアの自動生成 ---
resource "tls_private_key" "windows_key" {
  algorithm = "RSA"
  rsa_bits  = 4096
}

resource "aws_key_pair" "windows_keypair" {
  key_name   = "windows-terraform-key"
  public_key = tls_private_key.windows_key.public_key_openssh
}

resource "local_file" "private_key_pem" {
  filename        = "${path.module}/windows-terraform-key.pem"
  content         = tls_private_key.windows_key.private_key_pem
  file_permission = "0600"
}

⚠️ 注意（Git管理の落とし穴）
このコードを実行すると、ローカルに本物の秘密鍵（.pem）や、Windowsの初期パスワードが生テキストで記録された terraform.tfstate が生成されます。これらは絶対にGitHub等にプッシュしないよう、事前に .gitignore へ登録しておく必要があります。

2. Active Directory 役割のインストール

terraform apply 完了後、1台目のサーバーにリモートデスクトップ（RDP）で接続し、AD機能のインストールを進めます。

サーバーマネージャー を開き、右上から Manage ＞ Add Roles and Features を選択。
Server Roles の画面までデフォルトのまま進み、Active Directory Domain Services にチェックを入れる。
ポップアップが表示されるので、必ず Add Features をクリックして必要な関連機能を追加する。
その後の Features 画面などは、そのまま何も弄らずに Next で進めて Install をクリック。

3. ドメインコントローラーへの昇格

インストール完了後、サーバーを正式にドメインコントローラーとして機能させるためのセットアップを行います。

サーバーマネージャー右上の「通知（旗マーク）」をクリックし、Promote this server to a domain controller を選択。
Deployment Configuration で Add a new forest（新しいフォレストを追加）を選択し、任意のルートドメイン名（例: test.local）を入力。
Domain Controller Options でディレクトリサービス復元モード（DSRM）のパスワードを設定。
その他の画面はデフォルトのまま進み、最後の Prerequisites Check（前提条件チェック） が完了するまで1〜2分待つ。
チェックがパスしたら Install をクリック。
インストール完了後、サーバーが自動的に再起動します。

再起動後、ログインアカウントが ドメイン名\Administrator に切り替わっていれば昇格成功です（管理ツールの「Active Directory Users and Computers」からも確認可能）。

4. クライアントマシンのドメイン参加に向けて（次のステップ）

手元の実機PCからインターネット経由で直接このADドメインにログインすることは、DNSの名前解決やセキュリティ（大量のポート開放をパブリックに行う危険性）の観点から推奨されません（AWS Client VPN等の導入が必要になります）。

今回は、同じVPC内にもう1台のWindows Server（Windows-Client-PC）をTerraformで同時にプロビジョニングしました。この2台を同一ネットワーク内で通信させ、ドメイン参加の挙動を検証していく予定です。

お疲れ様でした！この構成であれば、無料枠を維持しながら安全にADの検証環境を構築できます。