View a markdown version of this page

Pencatatan panggilan SCIM API IAM Identity Center dengan AWS CloudTrail - AWS IAM Identity Center
Contoh CloudTrail acaraKesalahan validasi SCIM API umum di Pusat Identitas IAM

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Pencatatan panggilan SCIM API IAM Identity Center dengan AWS CloudTrail

IAM Identity Center SCIM terintegrasi dengan AWS CloudTrail, layanan yang menyediakan catatan tindakan yang diambil oleh pengguna, peran, atau. Layanan AWS CloudTrail menangkap panggilan API untuk SCIM sebagai peristiwa. Dengan menggunakan informasi yang dikumpulkan oleh CloudTrail, Anda dapat menentukan informasi tentang tindakan yang diminta, tanggal dan waktu tindakan, parameter permintaan, dan sebagainya. Untuk mempelajari selengkapnya CloudTrail, lihat Panduan AWS CloudTrail Pengguna.

catatan

CloudTrail diaktifkan pada Anda Akun AWS saat Anda membuat akun. Namun, Anda mungkin perlu memutar token akses Anda untuk melihat peristiwa dari SCIM, jika token Anda dibuat sebelum September 2024.

Untuk informasi selengkapnya, lihat Putar token akses.

SCIM mendukung logging untuk operasi berikut sebagai peristiwa di: CloudTrail

Contoh CloudTrail acara

Contoh berikut menunjukkan log CloudTrail peristiwa khas yang dihasilkan selama operasi SCIM dengan IAM Identity Center. Contoh-contoh ini menunjukkan struktur dan konten peristiwa untuk operasi yang berhasil dan skenario kesalahan umum, membantu Anda memahami cara menafsirkan CloudTrail log saat memecahkan masalah penyediaan SCIM.

CreateUserOperasi yang berhasil

A CloudTrail cara ini menunjukkan CreateUser operasi yang berhasil dilakukan melalui SCIM API. Acara menangkap parameter permintaan (dengan informasi sensitif tertutup) dan elemen respons, termasuk ID pengguna yang baru dibuat. Jenis peristiwa ini dihasilkan ketika penyedia identitas berhasil menyediakan pengguna baru ke Pusat Identitas IAM menggunakan protokol SCIM.

{
  "eventVersion": "1.10",
  "userIdentity": {
    "type": "WebIdentityUser",
    "accountId": "123456789012",
    "accessKeyId": "xxxx"
  },
  "eventTime": "xxxx",
  "eventSource": "identitystore-scim.amazonaws.com",
  "eventName": "CreateUser",
  "awsRegion": "us-east-1",
  "sourceIPAddress": "xx.xxx.xxx.xxx",
  "userAgent": "Go-http-client/2.0",
  "requestParameters": {
    "httpBody": {
      "displayName": "HIDDEN_DUE_TO_SECURITY_REASONS",
      "schemas" : [
        "urn:ietf:params:scim:schemas:core:2.0:User"
      ],
      "name": {
        "familyName": "HIDDEN_DUE_TO_SECURITY_REASONS",
        "givenName": "HIDDEN_DUE_TO_SECURITY_REASONS"
      },
      "active": true,
      "userName": "HIDDEN_DUE_TO_SECURITY_REASONS"
    },
    "tenantId": "xxxx"
  },
  "responseElements": {
    "meta" : {
      "created" : "Oct 10, 2024, 1:23:45 PM",
      "lastModified" : "Oct 10, 2024, 1:23:45 PM",
      "resourceType" : "User"
    },
    "displayName" : "HIDDEN_DUE_TO_SECURITY_REASONS",
    "schemas" : [
      "urn:ietf:params:scim:schemas:core:2.0:User"
    ],
    "name": {
      "familyName": "HIDDEN_DUE_TO_SECURITY_REASONS",
      "givenName": "HIDDEN_DUE_TO_SECURITY_REASONS"
    },
    "active": true,  
    "id" : "c4488478-a0e1-700e-3d75-96c6bb641596",
    "userName": "HIDDEN_DUE_TO_SECURITY_REASONS"
  },
  "requestID": "xxxx",
  "eventID": "xxxx",
  "readOnly": false,
  "eventType": "AwsApiCall",
  "managementEvent": true,
  "recipientAccountId": "123456789012",
  "eventCategory": "Management",
  "tlsDetails": {
    "clientProvidedHostHeader": "scim.us-east-1.amazonaws.com"
  }
}

PatchGroupOperasi gagal: Atribut jalur yang diperlukan hilang

Per CloudTrail istiwa ini menunjukkan PatchGroup operasi gagal yang mengaki ValidationException batkan pesan kesalahan"Missing path in PATCH request". Kesalahan terjadi karena PATCH operasi memerlukan atribut jalur untuk menentukan atribut grup mana yang akan dimodifikasi, tetapi atribut ini hilang dari permintaan.

{
  "eventVersion": "1.10",
  "userIdentity": {
    "type": "Unknown",
    "accountId": "123456789012",
    "accessKeyId": "xxxx"
  },
  "eventTime": "xxxx",
  "eventSource": "identitystore-scim.amazonaws.com",
  "eventName": "PatchGroup",
  "awsRegion": "us-east-1",
  "sourceIPAddress": "xxx.xxx.xxx.xxx",
  "userAgent": "Go-http-client/2.0",
  "errorCode": "ValidationException",
  "errorMessage": "Missing path in PATCH request",
  "requestParameters": {
    "httpBody": {
      "operations": [
        {
          "op": "REMOVE",
          "value": "HIDDEN_DUE_TO_SECURITY_REASONS"
        }
      ],
      "schemas": [
        "HIDDEN_DUE_TO_SECURITY_REASONS"
      ]
    },
    "tenantId": "xxxx",
    "id": "xxxx"
  },
  "responseElements": null,
  "requestID": "xxxx",
  "eventID": "xxxx",
  "readOnly": false,
  "eventType": "AwsApiCall",
  "managementEvent": true,
  "recipientAccountId": "123456789012",
  "eventCategory": "Management",
  "tlsDetails": {
    "clientProvidedHostHeader": "scim.us-east-1.amazonaws.com"
  }
}

CreateGroupOperasi gagal: Nama grup sudah ada

Per CloudTrail istiwa ini menunjukkan CreateGroup operasi gagal yang mengaki ConflictException batkan pesan kesalahan"Duplicate GroupDisplayName". Kesalahan ini terjadi saat mencoba membuat grup dengan nama tampilan yang sudah ada di Pusat Identitas IAM. Penyedia identitas harus menggunakan nama grup unik atau memperbarui grup yang ada alih-alih membuat yang baru.

{
  "eventVersion": "1.10",
  "userIdentity": {
    "type": "Unknown",
    "accountId": "123456789012",
    "accessKeyId": "xxxx"
  },
  "eventTime": "xxxx",
  "eventSource": "identitystore-scim.amazonaws.com",
  "eventName": "CreateGroup",
  "awsRegion": "us-east-1",
  "sourceIPAddress": "xxx.xxx.xxx.xxx",
  "userAgent": "Go-http-client/2.0",
  "errorCode": "ConflictException",
  "errorMessage": "Duplicate GroupDisplayName",
  "requestParameters": {
    "httpBody": {
      "displayName": "HIDDEN_DUE_TO_SECURITY_REASONS"
    },
    "tenantId": "xxxx"
  },
  "responseElements": null,
  "requestID": "xxxx",
  "eventID": "xxxx",
  "readOnly": false,
  "eventType": "AwsApiCall",
  "managementEvent": true,
  "recipientAccountId": "123456789012",
  "eventCategory": "Management",
  "tlsDetails": {
    "clientProvidedHostHeader": "scim.us-east-1.amazonaws.com"
  }
}

PatchUserOperasi gagal: Beberapa alamat email tidak didukung

Per CloudTrail istiwa ini menunjukkan PatchUser operasi gagal yang mengaki ValidationException batkan pesan kesalahan"List attribute emails exceeds allowed limit of 1". Kesalahan ini terjadi saat mencoba menetapkan beberapa alamat email ke pengguna, karena Pusat Identitas IAM hanya mendukung satu alamat email per pengguna. Penyedia identitas harus mengonfigurasi pemetaan SCIM untuk mengirim hanya satu alamat email untuk setiap pengguna.

{
  "eventVersion": "1.10",
  "userIdentity": {
    "type": "Unknown",
    "accountId": "123456789012",
    "accessKeyId": "xxxx"
  },
  "eventTime": "xxxx",
  "eventSource": "identitystore-scim.amazonaws.com",
  "eventName": "PatchUser",
  "awsRegion": "us-east-1",
  "sourceIPAddress": "xxx.xxx.xxx.xxx",
  "userAgent": "Go-http-client/2.0",
  "errorCode": "ValidationException",
  "errorMessage": "List attribute emails exceeds allowed limit of 1",
  "requestParameters": {
    "httpBody": {
      "operations": [
        {
          "op": "REPLACE",
          "path": "emails",
          "value": "HIDDEN_DUE_TO_SECURITY_REASONS"
        }
      ],
      "schemas": [
        "HIDDEN_DUE_TO_SECURITY_REASONS"
      ]
    },
    "tenantId": "xxxx",
    "id": "xxxx"
  },
  "responseElements": null,
  "requestID": "xxxx",
  "eventID": "xxxx",
  "readOnly": false,
  "eventType": "AwsApiCall",
  "managementEvent": true,
  "recipientAccountId": "123456789012",
  "eventCategory": "Management",
  "tlsDetails": {
    "clientProvidedHostHeader": "scim.us-east-1.amazonaws.com"
  }
}

Kesalahan validasi SCIM API umum di Pusat Identitas IAM

Pesan kesalahan validasi berikut biasanya muncul di CloudTrail acara saat menggunakan SCIM API dengan IAM Identity Center. Kesalahan validasi ini biasanya terjadi selama operasi penyediaan pengguna dan grup.

Untuk panduan terperinci tentang menyelesaikan kesalahan ini dan mengonfigurasi penyediaan SCIM dengan benar, lihat artikel ini AWS re:Post .

  • Email atribut daftar melebihi batas yang diizinkan 1

  • Daftar alamat atribut yang diizinkan batas 1

  • 1 kesalahan validasi terdeteksi: Nilai di '*name.FamilyName*' gagal memenuhi batasan: Anggota harus memenuhi pola ekspresi reguler: [\\ p {L}\\ p {M}\\ p {S}\\ p {N}\\ p {N}\\ p {P}\\ t\\\ n\ r] +

  • 2 kesalahan validasi terdeteksi: Nilai di 'Name.FamilyName' gagal memenuhi batasan: Anggota harus memiliki panjang lebih besar dari atau sama dengan 1; Nilai di 'Name.FamilyName' gagal memenuhi batasan: Anggota harus memenuhi pola ekspresi reguler: [\\ p {L}\\ p {M}\\ p {S}\\ p {N}\\ p {P}\\ t\\\\ n\ r] +

  • 2 kesalahan validasi terdeteksi: Nilai di 'urn:ietf:params:scim:schemas:extension:enterprise:2.0: User.manager.value 'gagal memenuhi batasan: Anggota harus memiliki panjang lebih besar dari atau sama dengan 1; Nilai di 'urn:ietf:params:scim:schemas:extension:enterprise:2.0:' gagal memenuhi batasan: Anggota harus memenuhi pola ekspresi reguler: [\\ p {L}\ p {M}\\ p {S}\\ p {N}\\ p {P}\\ t\\ n\\ r] +User.manager.value”,

  • JSON tidak valid dari RequestBody

  • Format Filter Tidak Valid