Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Risoluzione dei problemi relativi all'IAM Identity Center

Quanto segue può aiutarti a risolvere alcuni problemi comuni che potresti riscontrare durante la configurazione o l'utilizzo della console IAM Identity Center.

Problemi nella creazione di un'istanza di account di IAM Identity Center

Durante la creazione di un'istanza di account di IAM Identity Center potrebbero essere applicate diverse restrizioni. Se non riesci a creare un'istanza di account tramite la console IAM Identity Center o l'esperienza di configurazione di un'applicazione AWS gestita supportata, verifica i seguenti casi d'uso:

Viene visualizzato un errore quando si tenta di visualizzare l'elenco delle applicazioni cloud preconfigurate per funzionare con IAM Identity Center

L'errore seguente si verifica quando si dispone di una policy che consente sso:ListApplications ma non altre API IAM Identity Center. Aggiorna la tua policy per risolvere questo errore.

L'ListApplicationsautorizzazione autorizza più API:

Per aiutare a risolvere i duplicati, l'API interna ora autorizza anche l'utilizzo dell'ListApplicationProvidersazione. Per consentire l'ListApplicationsAPI pubblica ma negare l'API interna, la tua policy deve includere una dichiarazione che nega l'azione: ListApplicationProviders

      "Statement": [
    {
         "Effect": "Deny",
         "Action": "sso:ListApplicationProviders",
         "Resource": "*"
    },
    {
        "Effect": "Allow",
        "Action": "sso:ListApplications",
        "Resource": "<instanceArn>" // (or "*" for all instances)
    }
]
    

Per consentire l'API interna ma rifiutarlaListApplications, la policy deve consentire solo. ListApplicationProviders L'ListApplicationsAPI viene negata se non è esplicitamente consentita.

      "Statement": [
    {
         "Effect": "Allow",
         "Action": "sso:ListApplicationProviders",
         "Resource": "*"
    }
]
    

Quando le tue politiche vengono aggiornate, contatta Supporto per far rimuovere questa misura proattiva.

Problemi relativi ai contenuti delle asserzioni SAML create da IAM Identity Center

IAM Identity Center offre un'esperienza di debug basata sul web per le asserzioni SAML create e inviate da IAM Identity Center, inclusi gli attributi all'interno di tali asserzioni, quando si accede alle applicazioni SAML dal portale di accesso Account AWS . AWS Per visualizzare i dettagli di un'asserzione SAML generata da IAM Identity Center, utilizza i seguenti passaggi.

Gli utenti specifici non riescono a sincronizzarsi in IAM Identity Center da un provider SCIM esterno

Se il tuo Identity Provider (IdP) è configurato per fornire utenti a IAM Identity Center utilizzando la sincronizzazione SCIM, potresti riscontrare errori di sincronizzazione durante il processo di provisioning degli utenti. Ciò potrebbe indicare che la configurazione utente nel tuo IdP non è compatibile con i requisiti di IAM Identity Center. In questo caso, le API SCIM di IAM Identity Center restituiranno messaggi di errore che forniscono informazioni sulla causa principale del problema. Puoi individuare questi messaggi di errore nei log o nell'interfaccia utente del tuo IdP. In alternativa, è possibile trovare informazioni più dettagliate sugli errori di provisioning nei log. AWS CloudTrail

Per ulteriori informazioni sulle implementazioni SCIM di IAM Identity Center, comprese le specifiche dei parametri e delle operazioni richiesti, opzionali e non supportati per gli oggetti utente, consulta la Guida per gli sviluppatori all'implementazione di IAM Identity Center SCIM nella SCIM Developer Guide

Di seguito sono riportati alcuni motivi comuni di questo errore:

Errore duplicato di utente o gruppo durante il provisioning di utenti o gruppi con un provider di identità esterno

Se riscontri problemi di sincronizzazione con IAM Identity Center durante il provisioning di utenti o gruppi in un provider di identità (IdP) esterno, potrebbero essere dovuti al fatto che gli utenti o i gruppi IdP esterni non hanno valori di attributo univoci. Potresti ricevere i seguenti messaggi di errore nel tuo IdP esterno:

Rifiutato di creare una nuova risorsa duplicata

È possibile riscontrare questo problema nei seguenti scenari:

Il nome utente, l'indirizzo email primario e l'ExternalID devono essere univoci affinché gli utenti IdP esterni possano sincronizzarsi correttamente con IAM Identity Center. Allo stesso modo, il nome del gruppo deve essere univoco affinché i gruppi IdP esterni si sincronizzino correttamente con IAM Identity Center.

La soluzione è esaminare gli attributi della fonte di identità e assicurarsi che siano univoci.

Gli utenti non possono accedere quando il loro nome utente è in formato UPN

Gli utenti potrebbero non essere in grado di AWS accedere al portale di accesso in base al formato utilizzato per immettere il nome utente nella pagina di accesso. Nella maggior parte dei casi, gli utenti possono accedere al portale utente utilizzando il proprio nome utente semplice, il nome di accesso di livello inferiore (DOMAIN\UserName) o il nome di accesso UPN (). UserName@Corp.Example.com L'eccezione è rappresentata dai casi in cui IAM Identity Center utilizza una directory connessa abilitata con MFA e la modalità di verifica è impostata su o. Context-aware Always-on In questo scenario, gli utenti devono accedere con il proprio nome di accesso di livello inferiore (DOMAIN\). UserName Per ulteriori informazioni, consulta MFA per gli utenti della directory Identity Center. Per informazioni generali sui formati dei nomi utente utilizzati per accedere ad Active Directory, vedere User Name Formats nel sito Web della documentazione Microsoft.

Ricevo un errore «Impossibile eseguire l'operazione sul ruolo protetto» quando modifico un ruolo IAM

Quando esamini i ruoli IAM in un account, potresti notare che i nomi dei ruoli iniziano con 'AWSReservedSSO_'. Questi sono i ruoli che il servizio IAM Identity Center ha creato nell'account e derivano dall'assegnazione di un set di autorizzazioni all'account. Il tentativo di modificare questi ruoli dall'interno della console IAM genererà il seguente errore:

'Cannot perform the operation on the protected role 'AWSReservedSSO_RoleName_Here' - this role is only modifiable by AWS'

Questi ruoli possono essere modificati solo dalla console IAM Identity Center Administrator, che si trova nell'account di gestione di AWS Organizations. Una volta modificato, puoi quindi trasferire le modifiche agli AWS account a cui è assegnato.

Gli utenti della directory non possono reimpostare la propria password

Quando un utente della directory reimposta la propria password utilizzando la password dimenticata? opzione durante l'accesso al portale di AWS accesso, la nuova password deve rispettare la politica di password predefinita, come descritto in. Requisiti relativi alle password per la gestione delle identità in IAM Identity Center

Se un utente inserisce una password conforme alla politica e quindi riceve l'erroreWe couldn't update your password, controlla se l'errore AWS CloudTrail è stato registrato. Questo può essere fatto cercando nella console Event History CloudTrail utilizzando il seguente filtro:

"UpdatePassword"

Se il messaggio indica quanto segue, potrebbe essere necessario contattare l'assistenza:

"errorCode": "InternalFailure",
      "errorMessage": "An unknown error occurred“

Un'altra possibile causa di questo problema è la convenzione di denominazione applicata al valore del nome utente. Le convenzioni di denominazione devono seguire schemi specifici, ad esempio «Surname.givenName». Tuttavia, alcuni nomi utente possono essere piuttosto lunghi o contenere caratteri speciali e ciò può causare l'eliminazione di caratteri nella chiamata API, con conseguente errore. Potresti provare a reimpostare la password con un utente di prova nello stesso modo per verificare se questo è il caso.

Se il problema persiste, contatta il Centro AWS assistenza.

Il mio utente è referenziato in un set di autorizzazioni ma non può accedere agli account o alle applicazioni assegnati

Questo problema può verificarsi se si utilizza System for Cross-domain Identity Management (SCIM) per il provisioning automatico con un provider di identità esterno. In particolare, quando un utente, o il gruppo di cui l'utente era membro, viene eliminato e ricreato utilizzando lo stesso nome utente (per gli utenti) o nome (per i gruppi) nel provider di identità, viene creato un nuovo identificatore interno univoco per il nuovo utente o gruppo in IAM Identity Center. Tuttavia, IAM Identity Center ha ancora un riferimento al vecchio identificatore nel suo database delle autorizzazioni, in modo che il nome dell'utente o del gruppo appaia ancora nell'interfaccia utente, ma l'accesso non riesce. Questo perché l'ID utente o gruppo sottostante a cui fa riferimento l'interfaccia utente non esiste più.

Per ripristinare Account AWS l'accesso in questo caso, è possibile rimuovere l'accesso al vecchio utente o gruppo dagli Account AWS utenti a cui era stato originariamente assegnato e quindi riassegnare nuovamente l'accesso all'utente o al gruppo. Questo aggiorna il set di autorizzazioni con l'identificatore corretto per il nuovo utente o gruppo. Analogamente, per ripristinare l'accesso all'applicazione, è possibile rimuovere l'accesso all'utente o al gruppo dall'elenco degli utenti assegnati per quell'applicazione, quindi aggiungere nuovamente l'utente o il gruppo.

È inoltre possibile verificare se AWS CloudTrail è stato registrato l'errore cercando CloudTrail nei registri gli eventi di sincronizzazione SCIM che fanno riferimento al nome dell'utente o del gruppo in questione.

Non riesco a far sì che la mia applicazione dal catalogo delle applicazioni sia configurata correttamente

Se hai aggiunto un'applicazione dal catalogo delle applicazioni in IAM Identity Center, tieni presente che ogni fornitore di servizi fornisce la propria documentazione dettagliata. Puoi accedere a queste informazioni dalla scheda Configurazione dell'applicazione nella console IAM Identity Center.

Se il problema è correlato alla configurazione del trust tra l'applicazione del fornitore di servizi e IAM Identity Center, assicurati di consultare il manuale di istruzioni per la procedura di risoluzione dei problemi.

Errore «Si è verificato un errore imprevisto» quando un utente tenta di accedere utilizzando un provider di identità esterno

Questo errore può verificarsi per diversi motivi, ma uno dei motivi più comuni è la mancata corrispondenza tra le informazioni dell'utente contenute nella richiesta SAML e le informazioni relative all'utente in IAM Identity Center.

Affinché un utente IAM Identity Center possa accedere correttamente quando utilizza un IdP esterno come fonte di identità, deve essere vero quanto segue:

Questo errore può verificarsi anche quando l'endpoint Assertion Consumer Service (ACS) configurato nel provider di identità non corrisponde all'URL ACS fornito dall'istanza IAM Identity Center. Assicurati che questi due valori corrispondano esattamente.

Inoltre, puoi risolvere ulteriormente gli errori di accesso ai provider di identità esterni selezionando AWS CloudTrail e filtrando il nome dell'evento. ExternalIdPDirectoryLogin

Errore «Impossibile abilitare gli attributi per il controllo degli accessi»

Questo errore può verificarsi se l'utente che abilita ABAC non dispone delle iam:UpdateAssumeRolePolicy autorizzazioni necessarie per l'attivazione. Attributi per il controllo degli accessi

Ricevo il messaggio «Browser non supportato» quando tento di registrare un dispositivo per l'MFA

WebAuthn è attualmente supportato nei browser Web Google Chrome, Mozilla Firefox, Microsoft Edge e Apple Safari, nonché nelle piattaforme Windows 10 e Android. Alcuni componenti del WebAuthn supporto possono variare, ad esempio il supporto dell'autenticatore di piattaforma nei browser macOS e iOS. Se gli utenti tentano di registrare WebAuthn i dispositivi su un browser o una piattaforma non supportati, visualizzeranno in grigio alcune opzioni non supportate oppure riceveranno un messaggio di errore indicante che non sono supportati tutti i metodi supportati. In questi casi, fai riferimento a FIDO2: Web Authentication (WebAuthn) per ulteriori informazioni sul supporto. browser/platform Per ulteriori informazioni su WebAuthn in IAM Identity Center, consulta. FIDO2 autenticatori

Il gruppo «Domain Users» di Active Directory non si sincronizza correttamente con IAM Identity Center

Il gruppo Active Directory Domain Users è il «gruppo primario» predefinito per gli oggetti utente AD. I gruppi primari di Active Directory e le relative appartenenze non possono essere letti da IAM Identity Center. Quando assegni l'accesso alle risorse o alle applicazioni IAM Identity Center, utilizza gruppi diversi dal gruppo Domain Users (o altri gruppi assegnati come gruppi primari) per far sì che l'appartenenza al gruppo si rifletta correttamente nell'archivio di identità di IAM Identity Center.

Errore relativo alle credenziali MFA non valide

Questo errore può verificarsi quando un utente tenta di accedere a IAM Identity Center utilizzando un account di un provider di identità esterno (ad esempio, Okta oMicrosoft Entra ID) prima che il proprio account sia completamente fornito a IAM Identity Center utilizzando il protocollo SCIM. Dopo aver effettuato il provisioning dell'account utente a IAM Identity Center, questo problema dovrebbe essere risolto. Conferma che l'account è stato assegnato a IAM Identity Center. In caso contrario, controlla i log di provisioning nel provider di identità esterno.

Ricevo il messaggio «Si è verificato un errore imprevisto» quando tento di registrarmi o accedere utilizzando un'app di autenticazione

Time-based i sistemi one-time password (TOTP), come quelli utilizzati da IAM Identity Center in combinazione con app di autenticazione basate su codice, si basano sulla sincronizzazione dell'ora tra il client e il server. Assicurati che il dispositivo su cui è installata l'app di autenticazione sia sincronizzato correttamente con una fonte temporale affidabile o imposta manualmente l'ora sul dispositivo in modo che corrisponda a una fonte affidabile, come NIST () o altri equivalenti. https://www.time.gov/ local/regional

Ricevo l'errore «Non sei tu, siamo noi» quando tento di accedere a IAM Identity Center

Questo errore indica che c'è un problema di configurazione con la tua istanza di IAM Identity Center o con il provider di identità (IdP) esterno utilizzato da IAM Identity Center come fonte di identità. Ti consigliamo di verificare quanto segue:

I miei utenti non ricevono email da IAM Identity Center

Tutte le email inviate dal servizio IAM Identity Center proverranno dall'indirizzo no-reply@signin.aws ono-reply@login.awsapps.com. Il tuo sistema di posta deve essere configurato in modo tale da accettare le email provenienti da questi indirizzi email del mittente e non le gestisca come posta indesiderata o spam.

Errore: non è possibile remove/assign accedere delete/modify ai set di autorizzazioni forniti nell'account di gestione

Questo messaggio indica che la Amministrazione delegata funzionalità è stata abilitata e che l'operazione tentata in precedenza può essere eseguita con successo solo da qualcuno che dispone delle autorizzazioni dell'account di gestione. AWS Organizations Per risolvere il problema, accedi come utente con queste autorizzazioni e prova a eseguire nuovamente l'operazione o assegnala a qualcuno che dispone delle autorizzazioni corrette. Per ulteriori informazioni, consulta Registra un account membro.

Errore: token di sessione non trovato o non valido

Questo errore può verificarsi quando un client, ad esempio un browser Web Kit di strumenti AWS AWS CLI, tenta di utilizzare una sessione revocata o invalidata sul lato server. Per risolvere il problema, torna all'applicazione client o al sito Web e riprova, effettuando nuovamente l'accesso, se richiesto. A volte potrebbe essere necessario annullare anche le richieste in sospeso, ad esempio un tentativo di connessione in sospeso dall'interno dell' Kit di strumenti AWS IDE.

I membri del gruppo provenienti da domini affidabili non si sincronizzano con IAM Identity Center

Se un gruppo di sicurezza si sincronizza correttamente con IAM Identity Center, ma i suoi membri di un dominio locale attendibile non vengono visualizzati nello IAM Identity Center, ciò può essere causato dal fatto che il gruppo risiede AWS Managed Microsoft AD e contiene Foreign Security Principal (FSP) che rappresentano gli utenti di un dominio affidabile.

Per risolvere i problemi, prova a eseguire i seguenti passaggi:

Problemi relativi all'attivazione di un'istanza multiregionale di IAM Identity Center

Se hai selezionato l'Multi-Region istanza quando abiliti IAM Identity Center, il processo di configurazione crea una chiave gestita dal cliente, la replica nella regione aggiuntiva, abilita l'istanza e aggiunge la regione aggiuntiva. Se uno di questi passaggi fallisce, potresti visualizzare uno dei seguenti errori.

Creazione della chiave non riuscita

Non è stato possibile creare una chiave gestita dal cliente nel tuo account. La tua istanza non è stata abilitata.

Se si tratta di un errore di autorizzazione, verifica che il tuo ruolo disponga kms:TagResource delle autorizzazioni kms:CreateKey and, quindi scegli Abilita per riprovare.

Replica delle chiavi non riuscita

Nel tuo account è stata creata una chiave gestita dal cliente, ma non è stato possibile creare la chiave di replica nella regione aggiuntiva. L'istanza non è stata abilitata.

Se si tratta di un errore di autorizzazione, verifica che il tuo ruolo disponga dell'kms:ReplicateKeyautorizzazione.

Scegli Abilita per riprovare. Viene utilizzata la stessa chiave.

Se torni più tardi, trova la chiave nella AWS KMS console filtrando il tagCreatedBy: IAM Identity Center. Copia l'ID della chiave, quindi scegli Istanza personalizzata e seleziona quella chiave.

Per ricominciare da capo, elimina la chiave nella AWS KMS console e scegli l'Multi-Region istanza per crearne una nuova.

Creazione dell'istanza non riuscita

Una chiave gestita dal cliente è stata creata e replicata nella regione aggiuntiva, ma l'istanza non può essere abilitata.

Se si tratta di un errore di autorizzazione, verifica che il tuo ruolo disponga delle autorizzazioni necessarie per creare un'istanza IAM Identity Center.

Scegli Abilita per riprovare. Viene utilizzata la stessa chiave.

Se torni più tardi, trova la chiave nella AWS KMS console filtrando il tagCreatedBy: IAM Identity Center. Copia l'ID della chiave, quindi scegli Istanza personalizzata e seleziona quella chiave.

Per ricominciare da capo, elimina la chiave e la sua replica nella AWS KMS console e scegli l'Multi-Region istanza per crearne una nuova.