Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Fehlerbehebung beim SAML-Verbund mit IAM

Verwenden Sie die hier aufgeführten Informationen, um Probleme zu diagnostizieren und zu beheben, die beim Arbeiten mit SAML 2.0 und Verbund in AWS Identity and Access Management auftreten können.

Fehler: Ihre Anforderung enthielt eine ungültige SAML-Antwort. Klicken Sie hier, um sich abzumelden.

Dieser Fehler kann auftreten, wenn die SAML-Antwort des Identitätsanbieters kein Attribut mit Name mit dem Wert https://aws.amazon.com/SAML/Attributes/Role enthält. Das Attribut muss mindestens ein Element AttributeValue mit durch Komma getrennten Zeichenfolgen enthalten:

Der Fehler kann auch auftreten, wenn die vom Identitätsanbieter gesendeten SAML-Attributwerte voran- oder nachgestellte Leerzeichen oder andere ungültige Zeichen enthalten. Weitere Informationen zu den erwarteten Werten für SAML-Attribute finden Sie unter Konfigurieren von SAML-Assertionen für die Authentifizierungsreaktion.

Weitere Informationen finden Sie unter Konfigurieren von SAML-Assertionen für die Authentifizierungsreaktion. Befolgen Sie die Anleitung unter SAML-Antwort in Ihrem Browser anzeigen, um die SAML-Antwort im Browser anzuzeigen.

Fehler: RoleSessionName ist erforderlich in AuthnResponse (Dienst: AWSSecurityTokenService; Statuscode: 400; Fehlercode: InvalidIdentityToken)

Dieser Fehler kann auftreten, wenn die SAML-Antwort des Identitätsanbieters kein Attribut mit Name mit dem Wert https://aws.amazon.com/SAML/Attributes/RoleSessionName enthält. Der Attributwert ist eine Kennung für den Benutzer. Normalerweise handelt es sich dabei um eine Benutzer-ID oder eine E-Mail-Adresse.

Weitere Informationen finden Sie unter Konfigurieren von SAML-Assertionen für die Authentifizierungsreaktion. Befolgen Sie die Anleitung unter SAML-Antwort in Ihrem Browser anzeigen, um die SAML-Antwort im Browser anzuzeigen.

Fehler: Nicht berechtigt, sts auszuführen: AssumeRoleWithSAML (Dienst: AWSSecurityTokenService; Statuscode: 403; Fehlercode: AccessDenied)

Dieser Fehler kann auftreten, wenn die in der SAML-Antwort angegebene IAM-Rolle einen Tippfehler enthält oder nicht vorhanden ist. Achten Sie darauf, den genauen Namen Ihrer Rolle zu verwenden, da bei Rollennamen die Groß-/Kleinschreibung beachtet wird. Korrigieren Sie den Namen der Rolle in der Konfiguration des SAML-Serviceanbieters.

Sie haben nur dann Zugriff, wenn Ihre Rollenvertrauensrichtlinie die sts:AssumeRoleWithSAML-Aktion enthält. Wenn Ihre SAML-Zusicherung für die Verwendung des PrincipalTag-Attributs konfiguriert ist, muss Ihre Vertrauensrichtlinie auch die sts:TagSession-Aktion enthalten. Weitere Hinweise zu Sitzungs-Tags finden Sie unter Sitzungs-Tags weitergeben AWS STS.

Dieser Fehler kann auftreten, wenn Sie nicht sts:SetSourceIdentity-Berechtigungen in Ihrer Rollenvertrauensrichtlinie. Wenn Ihre SAML-Zusicherung für die Verwendung des SourceIdentity-Attributs konfiguriert ist, muss Ihre Vertrauensrichtlinie auch die sts:SetSourceIdentity-Aktion enthalten. Weitere Informationen zu Quellidentität finden Sie unter Überwachen und Steuern von Aktionen mit übernommenen Rollen.

Dieser Fehler kann auch auftreten, wenn ein Verbundprinzipal nicht über die Berechtigung zum Annehmen der Rolle verfügt. Die Rolle muss eine Vertrauensrichtlinie enthalten, in der der ARN des IAM-SAML-Identitätsanbieter als Principal angegeben ist. Die Rolle enthält zudem Bedingungen, über die gesteuert wird, welche Benutzer die Rolle annehmen können. Stellen Sie sicher, dass Benutzer die Anforderungen dieser Bedingungen erfüllen.

Dieser Fehler kann auch auftreten, wenn die SAML-Antwort nicht Subject mit dem Wert NameID enthält.

Weitere Informationen erhalten Sie unter Aktivieren von SAML 2.0-Verbundprinzipalen für den Zugriff auf AWS-Managementkonsole und Konfigurieren von SAML-Assertionen für die Authentifizierungsreaktion. Befolgen Sie die Anleitung unter SAML-Antwort in Ihrem Browser anzeigen, um die SAML-Antwort im Browser anzuzeigen.

Fehler: RoleSessionName In AuthnResponse muss mit [a-z A-Z _0-9+=, .@-] {2,64} übereinstimmen (Service: AWSSecurityTokenService; Statuscode: 400; Fehlercode:) InvalidIdentityToken

Dieser Fehler kann auftreten, wenn der Attributwert RoleSessionName zu hoch ist oder ungültige Zeichen enthält. Die maximal zulässige Länge beträgt 64 Zeichen.

Weitere Informationen finden Sie unter Konfigurieren von SAML-Assertionen für die Authentifizierungsreaktion. Befolgen Sie die Anleitung unter SAML-Antwort in Ihrem Browser anzeigen, um die SAML-Antwort im Browser anzuzeigen.

Fehler: Die Quell-Identität muss mit [a-z A-Z _0-9+=, .@-] {2,64} übereinstimmen und darf nicht mit „aws:“ beginnen (service: AWSSecurityTokenService; Statuscode: 400; Fehlercode:) InvalidIdentityToken

Dieser Fehler kann auftreten, wenn der Attributwert sourceIdentity zu hoch ist oder ungültige Zeichen enthält. Die maximal zulässige Länge beträgt 64 Zeichen. Weitere Informationen zu Quellidentität finden Sie unter Überwachen und Steuern von Aktionen mit übernommenen Rollen.

Weitere Informationen zum Erstellen von SAML-Assertionen finden Sie unter Konfigurieren von SAML-Assertionen für die Authentifizierungsreaktion. Befolgen Sie die Anleitung unter SAML-Antwort in Ihrem Browser anzeigen, um die SAML-Antwort im Browser anzuzeigen.

Fehler: Die Antwortsignatur ist ungültig (Service: AWSSecurityTokenService; Statuscode: 400; Fehlercode:) InvalidIdentityToken

Dieser Fehler kann auftreten, wenn Verbundmetadaten des Identitätsanbieters nicht mit den Metadaten des IAM-Identitätsanbieters übereinstimmen. Es kann beispielsweise sein, dass sich die Metadatendatei des Identitätsserviceanbieters geändert hat, um ein abgelaufenes Zertifikat zu aktualisieren. Laden Sie die aktualisierte SAML-Metadatendatei des Identitätsserviceanbieters herunter. Aktualisieren Sie es dann in der AWS Identitätsanbieter-Entität, die Sie in IAM mit dem aws iam update-saml-provider plattformübergreifenden CLI-Befehl oder dem Update-IAMSAMLProvider PowerShell Cmdlet definieren.

Fehler: Ungültiger privater Schlüssel.

Dieser Fehler kann auftreten, wenn Sie Ihre private Schlüsseldatei nicht richtig formatieren. Dieser Fehler kann zusätzliche Informationen darüber liefern, warum der private Schlüssel ungültig ist:

Wenn Sie Erstellen eines SAML-Identitätsanbieters in IAM in der sind AWS-Managementkonsole, müssen Sie den privaten Schlüssel von Ihrem Identitätsanbieter herunterladen, um ihn IAM zur Aktivierung der Verschlüsselung zur Verfügung zu stellen. Bei dem privaten Schlüssel muss es sich um eine PEM-Datei handeln, die unseren AES-CBC Verschlüsselungsalgorithmus zum Entschlüsseln von AES-GCM SAML-Assertionen verwendet.

Fehler: Privater Schlüssel konnte nicht entfernt werden.

Dieser Fehler kann auftreten, wenn die SAML-Verschlüsselung auf „Erforderlich“ eingestellt ist und Ihre Anforderung den einzigen privaten Entschlüsselungsschlüssel für den IAM-SAML-Anbieter entfernen würde. Weitere Informationen zum Rotieren von privaten Schlüsseln finden Sie unter Verwaltung von SAML-Verschlüsselungsschlüssel.

Fehler: Der private Schlüssel konnte nicht entfernt werden, da die Schlüssel-ID nicht mit einem privaten Schlüssel übereinstimmt.

Dieser Fehler kann auftreten, wenn der keyId-Wert für den privaten Schlüssel nicht mit einer der Schlüssel-IDs für die privaten Schlüsseldateien des Identitätsanbieters übereinstimmt.

Wenn Sie die API-Operationen update-saml-provider oder UpdateSAMLProvider verwenden, um private Schlüssel für die SAML-Verschlüsselung zu entfernen, muss der Wert in RemovePrivateKey eine gültige Schlüssel-ID für einen privaten Schlüssel sein, der an Ihren Identitätsanbieter angefügt ist.

Fehler: Rolle konnte nicht übernommen werden: Der Aussteller ist beim angegebenen Anbieter nicht anwesend (Dienst: AWSOpenIdDiscoveryService; Statuscode: 400; Fehlercode:) AuthSamlInvalidSamlResponseException

Dieser Fehler kann auftreten, wenn der Aussteller in der SAML-Antwort nicht mit dem Aussteller übereinstimmt, der in der Verbundmetadatendatei angegeben wurde. Die Metadatendatei wurde hochgeladen, AWS als Sie den Identitätsanbieter in IAM erstellt haben.

Error: Could not parse metadata.

Dieser Fehler kann auftreten, wenn Ihre Metadatendatei nicht ordnungsgemäß formatiert ist.

Wenn Sie einen SAML-Identitätsanbieter in der erstellen oder verwalten AWS-Managementkonsole, müssen Sie das SAML-Metadatendokument von Ihrem Identitätsanbieter abrufen.

Diese Metadatendatei enthält den Namen des Ausstellers, Ablaufinformationen und Schlüssel, die zum Überprüfen der vom IdP empfangenen SAML-Authentifizierung (Zusicherungen) verwendet werden können. Die Metadatendatei muss in einem UTF-8 Format ohne Byte Order Mark (BOM) codiert sein. Um die BOM zu entfernen, können Sie die Datei UTF-8 mit einem Textbearbeitungsprogramm wie Notepad++ kodieren.

Das als Teil des SAML-Metadatendokuments enthaltene X.509 Zertifikat muss eine Schlüsselgröße von mindestens 1024 Bit verwenden. Außerdem muss das X.509 Zertifikat frei von wiederholten Erweiterungen sein. Sie können Erweiterungen verwenden, diese dürfen jedoch nur einmal im Zertifikat angezeigt werden. Wenn das X.509 Zertifikat keine der beiden Bedingungen erfüllt, schlägt die IdP-Erstellung fehl und es wird der Fehler „Metadaten können nicht analysiert werden“ zurückgegeben.

Wie im V2.0 SAML-Metadaten-Interoperabilitätsprofil Version 1.0 definiert, bewertet IAM den Ablauf von X.509 Zertifikaten in SAML-Metadatendokumenten nicht und ergreift keine Maßnahmen. Wenn Sie sich Sorgen über abgelaufene X.509 Zertifikate machen, empfehlen wir Ihnen, die Ablaufdaten der Zertifikate zu überwachen und die Zertifikate gemäß den Richtlinien Ihrer Organisation und Sicherheitsrichtlinien zu rotieren.

Fehler: Identitätsanbieter konnte nicht aktualisiert werden. Für Metadaten oder Verschlüsselungs-Assertionen sind keine Aktualisierungen definiert.

Dieser Fehler kann auftreten, wenn Sie die update-saml-provider-CLI- oder UpdateSAMLProvider-API-Operationen verwenden, in Ihren Anforderungsparametern jedoch keine Aktualisierungswerte angeben. Weitere Informationen zum Aktualisieren Ihres IAM-SAML-Anbieters finden Sie unter Erstellen eines SAML-Identitätsanbieters in IAM.

Fehler: Der Assertion-Verschlüsselungsmodus konnte nicht auf „Erforderlich“ festgelegt werden, da kein privater Schlüssel bereitgestellt wurde.

Dieser Fehler kann auftreten, wenn Sie zuvor keinen privaten Entschlüsselungsschlüssel hochgeladen haben und versuchen, die SAML-Verschlüsselung auf „Erforderlich“ festzulegen, ohne Ihrer Anforderung einen privaten Schlüssel beizufügen.

Stellen Sie sicher, dass für Ihren IAM-SAML-Anbieter ein privater Schlüssel definiert ist, wenn Sie create-saml-provider-CLI-, CreateSAMLProvider-API-, update-saml-provider-CLI- oder UpdateSAMLProvider-API-Operationen verwenden, um verschlüsselte SAML-Assertionen anzufordern.

Fehler: Private Schlüssel können nicht in derselben Anfrage hinzugefügt und entfernt werden. Legen Sie nur für einen der beiden Parameter einen Wert fest.

Dieser Fehler kann auftreten, wenn in derselben Anforderung sowohl die Werte zum Hinzufügen als auch zum Entfernen privater Schlüssel enthalten sind.

Wenn Sie die API-Operationen update-saml-provider oder UpdateSAMLProvider verwenden, um private Schlüsseldateien für die SAML-Verschlüsselung zu rotieren, können Sie in Ihrer Anforderung nur einen privaten Schlüssel hinzufügen oder daraus entfernen. Wenn Sie einen privaten Schlüssel hinzufügen, während Sie einen privaten Schlüssel entfernen, schlägt die Operation fehl. Weitere Informationen zum Rotieren von privaten Schlüsseln finden Sie unter Verwaltung von SAML-Verschlüsselungsschlüssel.

Fehler: Der angegebene Anbieter ist nicht vorhanden.

Dieser Fehler kann auftreten, wenn der Name des Anbieters in der SAML-Assertion nicht mit dem Namen des Anbieters in IAM übereinstimmt. Weitere Informationen zum Anzeigen des Anbieternamens finden Sie unter Erstellen eines SAML-Identitätsanbieters in IAM.

Fehler: Die angeforderte DurationSeconds MaxSessionDuration Überschreitung der für diese Rolle festgelegten Werte.

Dieser Fehler kann auftreten, wenn Sie eine Rolle aus der AWS CLI OR-API übernehmen.

Wenn Sie die Befehlszeilenschnittstelle oder die AssumeRoleWithSAML API-Operationen assume-role-with-saml verwenden, um eine Rolle zu übernehmen, können Sie einen Wert für den Parameter angeben. DurationSeconds Sie können einen Wert von 900 Sekunden (15 Minuten) bis zur maximalen Sitzungsdauer für die Rolle angeben. Wenn Sie einen Wert höher als diese Einstellung angeben, schlägt die Operation fehl. Wenn Sie beispielsweise eine Sitzungsdauer von zwölf Stunden angeben, Ihr Administrator aber die maximale Sitzungsdauer auf sechs Stunden festgelegt hat, schlägt die Operation fehl. Weitere Informationen dazu, wie Sie den maximalen Wert für Ihre Rolle anzeigen, finden Sie unter Aktualisieren der maximalen Sitzungsdauer für eine Rolle.

Fehler: Die Begrenzung auf 2 private Schlüssel ist erreicht.

Dieser Fehler kann auftreten, wenn Sie versuchen, Ihrem Identitätsanbieter einen privaten Schlüssel hinzuzufügen.

Sie können für jeden Identitätsanbieter bis zu zwei private Schlüssel speichern. Wenn Sie die API-Operationen update-saml-provider oder UpdateSAMLProvider verwenden, um einen dritten privaten Schlüssel hinzuzufügen, schlägt der Vorgang fehl.

Entfernen Sie abgelaufene private Schlüssel, bevor Sie einen neuen privaten Schlüssel hinzufügen. Weitere Informationen zum Rotieren von privaten Schlüsseln finden Sie unter Verwaltung von SAML-Verschlüsselungsschlüssel.

Fehler: Die Antwort enthält nicht die erforderliche Zielgruppe.

Dieser Fehler kann auftreten, wenn in der SAML-Konfiguration eine Diskrepanz zwischen der Zielgruppen-URL und dem Identitätsanbieter besteht. Stellen Sie sicher, dass die ID für die vertrauende Seite Ihres Identitätsanbieters (IDP) exakt mit der Zielgruppen-URL (Entitäts-ID) übereinstimmt, die in der SAML-Konfiguration angegeben ist.