AWS
workspaces
DirectoryService

AWS Directory Serviceを使ってAmazon WorkSpacesを使用する際にハマったこと

※こちらの情報は2018/06/14時点の情報です

AWS Directory Service経由でADに参加させたAmazon WorkSpacesを使いたいと思って構築をやった際に、
ドハマリした内容をメモとして残しておきます。

結論から言いますと、
「ドキュメントには書いていないけれど、Workspaces用のディレクトリが作成できないAZがある!!」
です。

今回は、EC2上にADを構築して、そのADとAD Connectorを使用して作成したディレクトリを使用してWorkspacesを構築する
という要件だったのですが、これが一筋縄でいかずに結果的に3リージョンでの検証となりました...

構成は以下のような感じ。

  • リージョン
    東京(ap-northeast-1)
    London(eu-west-2)
    Ireland(eu-west-1)

  • VPC
    10.0.0.0/16

    • subnet1
      10.0.1.0/24
    • subnet2
      10.0.2.0/24
    • subnet3
      10.0.3.0/24
  • Security Group
    以下ポートを許可

    • TCP/UDP 53 - DNS
    • TCP/UDP 88 - Kerberos authentication
    • UDP 123 - NTP
    • TCP 135 - RPC
    • UDP 137-138 - Netlogon
    • TCP 139 - Netlogon
    • TCP/UDP 389 - LDAP
    • TCP/UDP 445 - SMB
    • TCP 1024-65535 - Dynamic ports for RPC
  • ドメインコントローラ兼DNSサーバ

    • OS
      Windows 2016 Base(日本語化済)
    • Active Directory
      XXXX-test.jp
    • IP
      10.0.3.134
    • connect用ユーザアカウント/パスワード
      ad-test/XXXXXXXX

Directory ServiceでDirectory作成を行うところまでは全く問題なく進むのですが、Worksspaces側のディレクトリ登録を実施すると
以下のメッセージが表示されて登録されない状況に。

"Unsupported Subnet
The selected directory was created in a subnet that is not supported by the WorkSpaces service, and cannot be registered. Please try with a different directory or contact the AWS Support Team on the community forums and via AWS Premium Support."

"サポートされていないサブネット
選択したディレクトリは、WorkSpacesサービスでサポートされていないサブネット内で作成されたため、登録できません。別のディレクトリで試してみるか、コミュニティフォーラムやAWSプレミアムサポートでAWSサポートチームにお問い合わせください。"

エラーメッセージが抽象的すぎて、どこから切り分けていけばよいかと途方に暮れながら、VPCの作り直しやSubnetの作り直しなどを
行っていったのですが、そこであることに気づきました。

「あれ?これってもしかしてSubnetがあるAZの組み合わせの問題なんじゃね?」

ということでパターンを作ってディレクトリ作成→登録を行ってみると、やっと見えてきました...
やっぱり 「特定のAZが含まれていると作成ができない」 ということが。

というわけで、現段階での検証結果はこんな感じになります。
追って追記していきたいと思います。

※tokyo リージョン
  AD Connectorで"ap-northeast-1d"に作ったsubnet上には、workspaces用のディレクトリは作成できない

  ap-northeast-1a, ap-northeast-1c → OK
  ap-northeast-1a, ap-northeast-1d → NG
  ap-northeast-1c, ap-northeast-1d → NG

※London リージョン
  AD Connectorで"eu-west-2c"に作ったsubnet上には、workspaces用のディレクトリは作成できない

  eu-west-2a, eu-west-2b →OK
  eu-west-2a, eu-west-2c →NG
  eu-west-2b, eu-west-2c →NG

※Ilerand リージョン
  すべてのAZで問題なし!

  eu-west-1a, eu-west-1b → OK
  eu-west-1a, eu-west-1c → OK
  eu-west-1b, eu-west-1c → OK

こちらの記事が少しでも皆さんのお役に立ちますように。