複数フォレストの ID ソースは信頼関係で束ねた AWS Managed Microsoft AD

IAM Identity Center の ID ソースに Active Directory を使う問題は、認証元のドメインやフォレストの数から考えます。
・ドメインが 1 つ — AD Connector でも足ります。AD Connector はドメインと 1 対 1 で対応して推移的な信頼をサポートせず、同じフォレストでも子ドメインごとに要ります。IAM Identity Center に接続できるディレクトリは一度に 1 つです。
・複数のドメインやフォレスト — AWS Managed Microsoft AD を作り、各フォレストと双方向の信頼関係を結んで束ねます。IAM Identity Center は信頼先のドメインのユーザーとグループも読み取って同期するため、一方向の信頼では動作しません。
・作り直さない — 信頼関係があれば認証は元のフォレストで行われるため、AWS 側でアカウントを作り直す案は外します。
・置き場所 — ディレクトリは管理アカウントか委任管理者アカウントに置き、IAM Identity Center は同じリージョンで有効にします。
「2 つのフォレスト」「普段の認証情報で」と並んだら、信頼関係で束ねた AWS Managed Microsoft AD を選びます。