View a markdown version of this page

Protokollierung von IAM Identity Center SCIM-API-Aufrufen mit AWS CloudTrail - AWS IAM Identity Center
Beispiele für Ereignisse CloudTrailHäufige SCIM-API-Validierungsfehler im IAM Identity Center

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Protokollierung von IAM Identity Center SCIM-API-Aufrufen mit AWS CloudTrail

IAM Identity Center SCIM ist in einen Dienst integriert AWS CloudTrail, der eine Aufzeichnung der von einem Benutzer, einer Rolle oder einem Benutzer ausgeführten Aktionen bereitstellt. AWS-Service CloudTrail erfasst API-Aufrufe für SCIM als Ereignisse. Anhand der von CloudTrail gesammelten Informationen können Sie die Informationen über die angeforderte Aktion, Datum und Uhrzeit der Aktion, Anforderungsparameter usw. ermitteln. Weitere Informationen finden CloudTrail Sie im AWS CloudTrail Benutzerhandbuch.

Anmerkung

CloudTrail ist auf Ihrem aktiviert AWS-Konto , wenn Sie das Konto erstellen. Möglicherweise müssen Sie Ihr Zugriffstoken jedoch rotieren, um Ereignisse von SCIM zu sehen, wenn Ihr Token vor September 2024 erstellt wurde.

Weitere Informationen finden Sie unter Ein Zugriffstoken rotieren.

SCIM unterstützt die Protokollierung der folgenden Operationen als Ereignisse in: CloudTrail

Beispiele für Ereignisse CloudTrail

Die folgenden Beispiele zeigen typische CloudTrail Ereignisprotokolle, die bei SCIM-Vorgängen mit IAM Identity Center generiert werden. Diese Beispiele zeigen die Struktur und den Inhalt von Ereignissen für erfolgreiche Operationen und allgemeine Fehlerszenarien. Sie helfen Ihnen dabei, zu verstehen, wie CloudTrail Protokolle bei der Behebung von SCIM-Bereitstellungsproblemen zu interpretieren sind.

Erfolgreicher Vorgang CreateUser

Dieses CloudTrail Ereignis zeigt einen erfolgreichen CreateUser Vorgang an, der über die SCIM-API ausgeführt wurde. Das Ereignis erfasst sowohl die Anforderungsparameter (mit maskierten vertraulichen Informationen) als auch die Antwortelemente, einschließlich der neu erstellten Benutzer-ID. Dieser Ereignistyp wird generiert, wenn ein Identitätsanbieter mithilfe des SCIM-Protokolls erfolgreich einen neuen Benutzer für IAM Identity Center bereitstellt.

{
  "eventVersion": "1.10",
  "userIdentity": {
    "type": "WebIdentityUser",
    "accountId": "123456789012",
    "accessKeyId": "xxxx"
  },
  "eventTime": "xxxx",
  "eventSource": "identitystore-scim.amazonaws.com",
  "eventName": "CreateUser",
  "awsRegion": "us-east-1",
  "sourceIPAddress": "xx.xxx.xxx.xxx",
  "userAgent": "Go-http-client/2.0",
  "requestParameters": {
    "httpBody": {
      "displayName": "HIDDEN_DUE_TO_SECURITY_REASONS",
      "schemas" : [
        "urn:ietf:params:scim:schemas:core:2.0:User"
      ],
      "name": {
        "familyName": "HIDDEN_DUE_TO_SECURITY_REASONS",
        "givenName": "HIDDEN_DUE_TO_SECURITY_REASONS"
      },
      "active": true,
      "userName": "HIDDEN_DUE_TO_SECURITY_REASONS"
    },
    "tenantId": "xxxx"
  },
  "responseElements": {
    "meta" : {
      "created" : "Oct 10, 2024, 1:23:45 PM",
      "lastModified" : "Oct 10, 2024, 1:23:45 PM",
      "resourceType" : "User"
    },
    "displayName" : "HIDDEN_DUE_TO_SECURITY_REASONS",
    "schemas" : [
      "urn:ietf:params:scim:schemas:core:2.0:User"
    ],
    "name": {
      "familyName": "HIDDEN_DUE_TO_SECURITY_REASONS",
      "givenName": "HIDDEN_DUE_TO_SECURITY_REASONS"
    },
    "active": true,  
    "id" : "c4488478-a0e1-700e-3d75-96c6bb641596",
    "userName": "HIDDEN_DUE_TO_SECURITY_REASONS"
  },
  "requestID": "xxxx",
  "eventID": "xxxx",
  "readOnly": false,
  "eventType": "AwsApiCall",
  "managementEvent": true,
  "recipientAccountId": "123456789012",
  "eventCategory": "Management",
  "tlsDetails": {
    "clientProvidedHostHeader": "scim.us-east-1.amazonaws.com"
  }
}

Fehlgeschlagener PatchGroup Vorgang: Fehlendes erforderliches Pfadattribut

Dieses CloudTrail Ereignis zeigt einen fehlgeschlagenen PatchGroup Vorgang an, der zu ValidationException einer Fehlermeldung geführt hat"Missing path in PATCH request". Der Fehler ist aufgetreten, weil für den PATCH Vorgang ein Pfadattribut erforderlich ist, um anzugeben, welches Gruppenattribut geändert werden soll, dieses Attribut jedoch in der Anforderung fehlte.

{
  "eventVersion": "1.10",
  "userIdentity": {
    "type": "Unknown",
    "accountId": "123456789012",
    "accessKeyId": "xxxx"
  },
  "eventTime": "xxxx",
  "eventSource": "identitystore-scim.amazonaws.com",
  "eventName": "PatchGroup",
  "awsRegion": "us-east-1",
  "sourceIPAddress": "xxx.xxx.xxx.xxx",
  "userAgent": "Go-http-client/2.0",
  "errorCode": "ValidationException",
  "errorMessage": "Missing path in PATCH request",
  "requestParameters": {
    "httpBody": {
      "operations": [
        {
          "op": "REMOVE",
          "value": "HIDDEN_DUE_TO_SECURITY_REASONS"
        }
      ],
      "schemas": [
        "HIDDEN_DUE_TO_SECURITY_REASONS"
      ]
    },
    "tenantId": "xxxx",
    "id": "xxxx"
  },
  "responseElements": null,
  "requestID": "xxxx",
  "eventID": "xxxx",
  "readOnly": false,
  "eventType": "AwsApiCall",
  "managementEvent": true,
  "recipientAccountId": "123456789012",
  "eventCategory": "Management",
  "tlsDetails": {
    "clientProvidedHostHeader": "scim.us-east-1.amazonaws.com"
  }
}

Fehlgeschlagener CreateGroup Vorgang: Der Gruppenname ist bereits vorhanden

Dieses CloudTrail Ereignis zeigt einen fehlgeschlagenen CreateGroup Vorgang an, der zu ConflictException einer Fehlermeldung geführt hat"Duplicate GroupDisplayName". Dieser Fehler tritt auf, wenn versucht wird, eine Gruppe mit einem Anzeigenamen zu erstellen, der bereits in IAM Identity Center vorhanden ist. Der Identitätsanbieter muss einen eindeutigen Gruppennamen verwenden oder die vorhandene Gruppe aktualisieren, anstatt eine neue zu erstellen.

{
  "eventVersion": "1.10",
  "userIdentity": {
    "type": "Unknown",
    "accountId": "123456789012",
    "accessKeyId": "xxxx"
  },
  "eventTime": "xxxx",
  "eventSource": "identitystore-scim.amazonaws.com",
  "eventName": "CreateGroup",
  "awsRegion": "us-east-1",
  "sourceIPAddress": "xxx.xxx.xxx.xxx",
  "userAgent": "Go-http-client/2.0",
  "errorCode": "ConflictException",
  "errorMessage": "Duplicate GroupDisplayName",
  "requestParameters": {
    "httpBody": {
      "displayName": "HIDDEN_DUE_TO_SECURITY_REASONS"
    },
    "tenantId": "xxxx"
  },
  "responseElements": null,
  "requestID": "xxxx",
  "eventID": "xxxx",
  "readOnly": false,
  "eventType": "AwsApiCall",
  "managementEvent": true,
  "recipientAccountId": "123456789012",
  "eventCategory": "Management",
  "tlsDetails": {
    "clientProvidedHostHeader": "scim.us-east-1.amazonaws.com"
  }
}

Fehlgeschlagener PatchUser Vorgang: Mehrere E-Mail-Adressen werden nicht unterstützt

Dieses CloudTrail Ereignis zeigt einen fehlgeschlagenen PatchUser Vorgang an, der zu ValidationException einer Fehlermeldung geführt hat"List attribute emails exceeds allowed limit of 1". Dieser Fehler tritt auf, wenn versucht wird, einem Benutzer mehrere E-Mail-Adressen zuzuweisen, da IAM Identity Center nur eine E-Mail-Adresse pro Benutzer unterstützt. Der Identitätsanbieter muss die SCIM-Zuordnung so konfigurieren, dass nur eine einzige E-Mail-Adresse für jeden Benutzer gesendet wird.

{
  "eventVersion": "1.10",
  "userIdentity": {
    "type": "Unknown",
    "accountId": "123456789012",
    "accessKeyId": "xxxx"
  },
  "eventTime": "xxxx",
  "eventSource": "identitystore-scim.amazonaws.com",
  "eventName": "PatchUser",
  "awsRegion": "us-east-1",
  "sourceIPAddress": "xxx.xxx.xxx.xxx",
  "userAgent": "Go-http-client/2.0",
  "errorCode": "ValidationException",
  "errorMessage": "List attribute emails exceeds allowed limit of 1",
  "requestParameters": {
    "httpBody": {
      "operations": [
        {
          "op": "REPLACE",
          "path": "emails",
          "value": "HIDDEN_DUE_TO_SECURITY_REASONS"
        }
      ],
      "schemas": [
        "HIDDEN_DUE_TO_SECURITY_REASONS"
      ]
    },
    "tenantId": "xxxx",
    "id": "xxxx"
  },
  "responseElements": null,
  "requestID": "xxxx",
  "eventID": "xxxx",
  "readOnly": false,
  "eventType": "AwsApiCall",
  "managementEvent": true,
  "recipientAccountId": "123456789012",
  "eventCategory": "Management",
  "tlsDetails": {
    "clientProvidedHostHeader": "scim.us-east-1.amazonaws.com"
  }
}

Häufige SCIM-API-Validierungsfehler im IAM Identity Center

Die folgenden Validierungsfehlermeldungen treten häufig bei CloudTrail Ereignissen auf, wenn die SCIM-API mit IAM Identity Center verwendet wird. Diese Validierungsfehler treten in der Regel bei der Benutzer- und Gruppenbereitstellung auf.

Eine ausführliche Anleitung zur Behebung dieser Fehler und zur ordnungsgemäßen Konfiguration der SCIM-Bereitstellung finden Sie in diesem Artikel. AWS re:Post

  • Das Listenattribut E-Mail überschreitet das zulässige Limit von 1

  • Zulässige Attributadressen auflisten (Limit von 1)

  • 1 Überprüfungsfehler erkannt: Der Wert unter '*Name.FamilyName*' erfüllte die Einschränkung nicht: Das Mitglied muss das Muster des regulären Ausdrucks erfüllen: [\\ p {L}\\ p {M}\\ p {S}\\ p {N}\\ p {P}\\ t\\n\ r] +

  • Es wurden 2 Überprüfungsfehler erkannt: Der Wert unter 'Name.FamilyName' erfüllte die Einschränkung nicht: Das Mitglied muss eine Länge von mindestens 1 haben; der Wert unter 'Name.FamilyName' erfüllte die Einschränkung nicht: Das Mitglied muss das Muster des regulären Ausdrucks erfüllen: [\\ p {L}\\ p {M}\\ p {S}\\ p {N}\\ p {P}\\ t\\n\\ r] +

  • Es wurden 2 Überprüfungsfehler erkannt: Der Wert auf 'urn:ietf:params:scim:schemas:extension:enterprise:2.0: User.manager.value 'konnte die Einschränkung nicht erfüllen: Das Element muss eine Länge größer oder gleich 1 haben; Wert auf 'urn:ietf:params:scim:schemas:extension:enterprise:2.0:User.manager.value' erfüllt die Einschränkung nicht: Das Mitglied muss das Muster des regulären Ausdrucks erfüllen: [\\ p {L}\\ p {M}\\ p {S}\\ p {N}\\ p {P}\\ t\\n\\ r] +“,

  • Ungültiges JSON von RequestBody

  • Ungültiges Filterformat