Posted at

AWS Directory Serviceを使ってAmazon WorkSpacesを使用する際にハマったこと

More than 1 year has passed since last update.

※こちらの情報は2018/06/14時点の情報です

AWS Directory Service経由でADに参加させたAmazon WorkSpacesを使いたいと思って構築をやった際に、

ドハマリした内容をメモとして残しておきます。

結論から言いますと、

「ドキュメントには書いていないけれど、Workspaces用のディレクトリが作成できないAZがある!!」

です。

今回は、EC2上にADを構築して、そのADとAD Connectorを使用して作成したディレクトリを使用してWorkspacesを構築する

という要件だったのですが、これが一筋縄でいかずに結果的に3リージョンでの検証となりました...


構成は以下のような感じ。


  • リージョン

    東京(ap-northeast-1)

    London(eu-west-2)

    Ireland(eu-west-1)



  • VPC

    10.0.0.0/16


    • subnet1

      10.0.1.0/24


    • subnet2

      10.0.2.0/24


    • subnet3

      10.0.3.0/24





  • Security Group

    以下ポートを許可


    • TCP/UDP 53 - DNS


    • TCP/UDP 88 - Kerberos authentication


    • UDP 123 - NTP


    • TCP 135 - RPC


    • UDP 137-138 - Netlogon


    • TCP 139 - Netlogon


    • TCP/UDP 389 - LDAP


    • TCP/UDP 445 - SMB


    • TCP 1024-65535 - Dynamic ports for RPC




  • ドメインコントローラ兼DNSサーバ


    • OS

      Windows 2016 Base(日本語化済)

    • Active Directory

      XXXX-test.jp

    • IP

      10.0.3.134

    • connect用ユーザアカウント/パスワード

      ad-test/XXXXXXXX




Directory ServiceでDirectory作成を行うところまでは全く問題なく進むのですが、Worksspaces側のディレクトリ登録を実施すると

以下のメッセージが表示されて登録されない状況に。

"Unsupported Subnet

The selected directory was created in a subnet that is not supported by the WorkSpaces service, and cannot be registered. Please try with a different directory or contact the AWS Support Team on the community forums and via AWS Premium Support."

"サポートされていないサブネット
選択したディレクトリは、WorkSpacesサービスでサポートされていないサブネット内で作成されたため、登録できません。別のディレクトリで試してみるか、コミュニティフォーラムやAWSプレミアムサポートでAWSサポートチームにお問い合わせください。"

エラーメッセージが抽象的すぎて、どこから切り分けていけばよいかと途方に暮れながら、VPCの作り直しやSubnetの作り直しなどを

行っていったのですが、そこであることに気づきました。

「あれ?これってもしかしてSubnetがあるAZの組み合わせの問題なんじゃね?」

ということでパターンを作ってディレクトリ作成→登録を行ってみると、やっと見えてきました...

やっぱり 「特定のAZが含まれていると作成ができない」 ということが。

というわけで、現段階での検証結果はこんな感じになります。

追って追記していきたいと思います。

※tokyo リージョン

AD Connectorで"ap-northeast-1d"に作ったsubnet上には、workspaces用のディレクトリは作成できない

ap-northeast-1a, ap-northeast-1c → OK
ap-northeast-1a, ap-northeast-1d → NG
ap-northeast-1c, ap-northeast-1d → NG

※London リージョン
AD Connectorで"eu-west-2c"に作ったsubnet上には、workspaces用のディレクトリは作成できない

eu-west-2a, eu-west-2b →OK
eu-west-2a, eu-west-2c →NG
eu-west-2b, eu-west-2c →NG

※Ilerand リージョン
すべてのAZで問題なし!

eu-west-1a, eu-west-1b → OK
eu-west-1a, eu-west-1c → OK
eu-west-1b, eu-west-1c → OK

こちらの記事が少しでも皆さんのお役に立ちますように。