Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Risoluzione dei problemi relativi IAM all'Identity Center

Quanto segue può aiutarti a risolvere alcuni problemi comuni che potresti riscontrare durante la configurazione o l'utilizzo della IAM console di Identity Center.

Problemi relativi alla creazione di un'istanza di account di Identity Center IAM

Potrebbero essere applicate diverse restrizioni durante la creazione di un'istanza di account di IAM Identity Center. Se non riesci a creare un'istanza di account tramite la console di IAM Identity Center o l'esperienza di configurazione di un'applicazione AWS gestita supportata, verifica i seguenti casi d'uso:

Viene visualizzato un errore quando si tenta di visualizzare l'elenco delle applicazioni cloud preconfigurate per funzionare con IAM Identity Center

Il seguente errore si verifica quando si dispone di una politica che consente sso:ListApplications ma non altri IAM Identity CenterAPIs. Aggiorna la tua politica per correggere questo errore.

L'ListApplicationsautorizzazione autorizza piùAPIs:

Per aiutare a risolvere i duplicati, API ora anche l'interfaccia interna autorizza l'utilizzo dell'ListApplicationProvidersazione. Per consentire al pubblico ListApplications API ma negare l'intervento internoAPI, la politica deve includere una dichiarazione che neghi l'azione: ListApplicationProviders

      "Statement": [
    {
         "Effect": "Deny",
         "Action": "sso:ListApplicationProviders",
         "Resource": "*"
    },
    {
        "Effect": "Allow",
        "Action": "sso:ListApplications",
        "Resource": "<instanceArn>" // (or "*" for all instances)
    }
]
    

Per consentire l'interno API ma negareListApplications, la politica deve solo consentire. ListApplicationProviders ListApplicationsAPIViene negato se non esplicitamente consentito.

      "Statement": [
    {
         "Effect": "Allow",
         "Action": "sso:ListApplicationProviders",
         "Resource": "*"
    }
]
    

Una volta aggiornate le politiche, contattateci Supporto per far rimuovere questa misura proattiva.

Problemi relativi al contenuto delle SAML asserzioni create da Identity Center IAM

IAMIdentity Center offre un'esperienza di debug basata sul Web per le SAML asserzioni create e inviate da IAM Identity Center, inclusi gli attributi all'interno di tali asserzioni, durante l'accesso Account AWS e le SAML applicazioni dal portale di accesso. AWS Per visualizzare i dettagli di un'SAMLasserzione generata da IAM Identity Center, utilizza la procedura seguente.

Alcuni utenti non riescono a sincronizzarsi con IAM Identity Center da un provider esterno SCIM

Se l'Identity Provider (IdP) è configurato per fornire gli utenti in IAM Identity Center utilizzando la SCIM sincronizzazione, è possibile che si verifichino errori di sincronizzazione durante il processo di provisioning degli utenti. Ciò potrebbe indicare che la configurazione utente del tuo IdP non è compatibile con i requisiti dell'IAMIdentity Center. Quando ciò accade, l'IAMIdentity Center SCIM APIs restituirà messaggi di errore che forniscono informazioni sulla causa principale del problema. Puoi individuare questi messaggi di errore nei log o nell'interfaccia utente del tuo IdP. In alternativa, puoi trovare informazioni più dettagliate sugli errori di provisioning nei log.AWS CloudTrail

Per ulteriori informazioni sulle SCIM implementazioni di IAM Identity Center, incluse le specifiche dei parametri e delle operazioni obbligatori, opzionali e non supportati per gli oggetti utente, consulta la Guida per gli sviluppatori all'SCIMimplementazione di IAM Identity Center nella Guida per gli sviluppatori SCIM

Di seguito sono riportate alcune delle cause più comuni di questo errore:

Errore duplicato di utenti o gruppi durante il provisioning di utenti o gruppi con un provider di identità esterno

Se riscontri problemi di sincronizzazione IAM dell'Identity Center durante il provisioning di utenti o gruppi in un provider di identità (IdP) esterno, ciò potrebbe essere dovuto al fatto che gli utenti o i gruppi IdP esterni non dispongono di valori di attributo univoci. Potresti ricevere i seguenti messaggi di errore nel tuo IdP esterno:

Rifiutato di creare una nuova risorsa duplicata

Questo problema può verificarsi nei seguenti scenari:

Il nome utente, l'indirizzo e-mail principale e ExternalID devono essere univoci per consentire agli utenti IdP esterni di sincronizzarsi correttamente con Identity Center. IAM Analogamente, il nome del gruppo deve essere univoco per consentire la corretta sincronizzazione dei gruppi IdP esterni con Identity Center. IAM

La soluzione consiste nel rivedere gli attributi della fonte di identità e assicurarsi che siano unici.

Gli utenti non possono accedere quando il loro nome utente è in UPN formato

Gli utenti potrebbero non essere in grado di AWS accedere al portale di accesso in base al formato utilizzato per immettere il proprio nome utente nella pagina di accesso. Per la maggior parte, gli utenti possono accedere al portale utenti utilizzando il proprio nome utente semplice, il nome di accesso di livello inferiore (DOMAIN\UserName) o il nome di UPN accesso (). UserName@Corp.Example.com L'eccezione si verifica quando IAM Identity Center utilizza una directory connessa che è stata abilitata con MFA e la modalità di verifica è stata impostata su Context-aware o Always-on. In questo scenario, gli utenti devono accedere con il proprio nome di accesso di livello inferiore (\). DOMAIN UserName Per ulteriori informazioni, consulta Autenticazione a più fattori per gli utenti di Identity Center. Per informazioni generali sui formati dei nomi utente utilizzati per accedere ad Active Directory, vedere Formati dei nomi utente nel sito Web della documentazione Microsoft.

Quando modifico un ruolo, ricevo l'errore «Impossibile eseguire l'operazione sul ruolo protetto» IAM

Quando esamini IAM i ruoli in un account, potresti notare che i nomi dei ruoli iniziano con '_'. AWSReservedSSO Questi sono i ruoli che il servizio IAM Identity Center ha creato nell'account e derivano dall'assegnazione di un set di autorizzazioni all'account. Il tentativo di modificare questi ruoli dall'interno della IAM console genererà il seguente errore:

'Cannot perform the operation on the protected role 'AWSReservedSSO_RoleName_Here' - this role is only modifiable by AWS'

Questi ruoli possono essere modificati solo dalla console di amministrazione di IAM Identity Center, che si trova nell'account di gestione di AWS Organizations. Una volta modificate, è possibile trasferire le modifiche agli AWS account a cui sono assegnate.

Gli utenti della Directory non possono reimpostare la propria password

Quando un utente della directory reimposta la propria password utilizzando la password dimenticata? opzione durante l'accesso al portale di AWS accesso, la nuova password deve rispettare la politica di password predefinita descritta in. Requisiti relativi alla password per la gestione delle IAM identità in Identity Center

Se un utente inserisce una password conforme alla politica e poi riceve l'erroreWe couldn't update your password, controlla se AWS CloudTrail ha registrato l'errore. Questo può essere fatto effettuando una ricerca nella console Event History o CloudTrail utilizzando il seguente filtro:

"UpdatePassword"

Se il messaggio indica quanto segue, potrebbe essere necessario contattare l'assistenza:

"errorCode": "InternalFailure",
      "errorMessage": "An unknown error occurred“

Un'altra possibile causa di questo problema è la convenzione di denominazione applicata al valore del nome utente. Le convenzioni di denominazione devono seguire schemi specifici come «cognome». givenName'. Tuttavia, alcuni nomi utente possono essere piuttosto lunghi o contenere caratteri speciali e ciò può causare l'eliminazione di caratteri nella API chiamata, con conseguente errore. Potresti provare a reimpostare la password con un utente di prova nello stesso modo per verificare se questo è il caso.

Se il problema persiste, contatta il AWS Support Center.

Il mio utente è referenziato in un set di autorizzazioni ma non può accedere agli account o alle applicazioni assegnati

Questo problema può verificarsi se si utilizza System for Cross-domain Identity Management (SCIM) per il provisioning automatico con un provider di identità esterno. In particolare, quando un utente o il gruppo di cui l'utente era membro viene eliminato e poi ricreato utilizzando lo stesso nome utente (per gli utenti) o lo stesso nome (per i gruppi) nel provider di identità, viene creato un nuovo identificatore interno univoco per il nuovo utente o gruppo in Identity Center. IAM Tuttavia, IAM Identity Center ha ancora un riferimento al vecchio identificatore nel database delle autorizzazioni, in modo che il nome dell'utente o del gruppo appaia ancora nell'interfaccia utente, ma l'accesso non riesce. Questo perché l'ID utente o di gruppo sottostante a cui fa riferimento l'interfaccia utente non esiste più.

Per ripristinare Account AWS l'accesso in questo caso, puoi rimuovere l'accesso per il vecchio utente o gruppo dai luoghi in cui era stato originariamente assegnato e quindi riassegnare l'accesso all'utente o al gruppo. Account AWS Ciò aggiorna il set di autorizzazioni con l'identificatore corretto per il nuovo utente o gruppo. Analogamente, per ripristinare l'accesso all'applicazione, è possibile rimuovere l'accesso per l'utente o il gruppo dall'elenco degli utenti assegnati a quell'applicazione, quindi aggiungere nuovamente l'utente o il gruppo.

È inoltre possibile verificare se l'errore è AWS CloudTrail stato registrato cercando CloudTrail nei registri gli eventi di SCIM sincronizzazione che fanno riferimento al nome dell'utente o del gruppo in questione.

Non riesco a configurare correttamente la mia applicazione dal catalogo delle applicazioni

Se hai aggiunto un'applicazione dal catalogo delle applicazioni in IAM Identity Center, tieni presente che ogni fornitore di servizi fornisce la propria documentazione dettagliata. È possibile accedere a queste informazioni dalla scheda Configurazione dell'applicazione nella console di IAM Identity Center.

Se il problema è correlato all'impostazione del rapporto di fiducia tra l'applicazione del provider di servizi e IAM Identity Center, assicurati di consultare il manuale di istruzioni per la risoluzione dei problemi.

Errore «Si è verificato un errore imprevisto» quando un utente tenta di accedere utilizzando un provider di identità esterno

Questo errore può verificarsi per diversi motivi, ma uno dei motivi più comuni è la mancata corrispondenza tra le informazioni sull'utente contenute nella SAML richiesta e le informazioni relative all'utente in Identity Center. IAM

Affinché un utente di IAM Identity Center possa accedere correttamente quando utilizza un IdP esterno come origine dell'identità, deve essere vero quanto segue:

Questo errore può verificarsi anche quando l'endpoint Assertion Consumer Service (ACS) configurato nel provider di identità non corrisponde a quello ACS URL fornito dall'istanza di Identity Center. IAM Assicurati che questi due valori corrispondano esattamente.

Inoltre, puoi risolvere ulteriormente gli errori di accesso tramite provider di identità esterni consultando AWS CloudTrail e filtrando il nome dell'evento. ExternalIdPDirectoryLogin

Errore «Impossibile abilitare gli attributi per il controllo degli accessi»

Questo errore può verificarsi se l'utente abilitato ABAC non dispone delle iam:UpdateAssumeRolePolicy autorizzazioni necessarie per l'attivazione. Attributi per il controllo degli accessi

Ricevo il messaggio «Browser non supportato» quando tento di registrare un dispositivo per MFA

WebAuthn è attualmente supportato nei browser Web Google Chrome, Mozilla Firefox, Microsoft Edge e Apple Safari, nonché nelle piattaforme Windows 10 e Android. Alcuni componenti del WebAuthn supporto possono variare, ad esempio il supporto di Platform Authenticator nei browser macOS e iOS. Se gli utenti tentano di registrare WebAuthn dispositivi su un browser o una piattaforma non supportati, vedranno alcune opzioni non supportate in grigio oppure riceveranno un messaggio di errore indicante che non tutti i metodi supportati sono supportati. In questi casi, fate riferimento a FIDO2: Web Authentication (WebAuthn) per ulteriori informazioni sul supporto di browser/piattaforme. Per ulteriori informazioni su WebAuthn IAM Identity Center, vedere. FIDO2 autenticatori

Il gruppo «Domain Users» di Active Directory non si sincronizza correttamente con IAM Identity Center

Il gruppo Active Directory Domain Users è il «gruppo primario» predefinito per gli oggetti utente AD. I gruppi primari di Active Directory e le relative appartenenze non possono essere letti da IAM Identity Center. Quando assegnate l'accesso alle risorse o alle applicazioni di IAM Identity Center, utilizzate gruppi diversi dal gruppo Domain Users (o altri gruppi assegnati come gruppi primari) per far sì che l'appartenenza al gruppo rifletta correttamente nell'archivio di IAM identità di Identity Center.

Errore relativo alle credenziali non valide MFA

Questo errore può verificarsi quando un utente tenta di accedere a IAM Identity Center utilizzando un account di un provider di identità esterno (ad esempio, Okta oppure Microsoft Entra ID) prima che il relativo account venga fornito completamente a IAM Identity Center utilizzando il SCIM protocollo. Dopo aver fornito l'account utente a IAM Identity Center, questo problema dovrebbe essere risolto. Conferma che l'account sia stato fornito a IAM Identity Center. In caso contrario, controlla i registri di provisioning nel provider di identità esterno.

Ricevo il messaggio «Si è verificato un errore imprevisto» quando tento di registrarmi o accedere utilizzando un'app di autenticazione

I sistemi monouso (TOTP) basati sull'ora, come quelli utilizzati da IAM Identity Center in combinazione con le app di autenticazione basate su codice, si basano sulla sincronizzazione temporale tra il client e il server. Assicurati che il dispositivo su cui è installata l'app di autenticazione sia sincronizzato correttamente con una fonte temporale affidabile oppure imposta manualmente l'ora sul dispositivo in modo che corrisponda a una fonte affidabile, come (https://www.time.gov/) o altri equivalenti locali/regionali. NIST

Quando tento di accedere a Identity Center ricevo il messaggio di errore «Non sei tu, siamo noi» IAM

Questo errore indica che c'è un problema di configurazione con l'istanza di IAM Identity Center o con il provider di identità esterno (IdP) che IAM Identity Center utilizza come origine dell'identità. Ti consigliamo di verificare quanto segue:

I miei utenti non ricevono e-mail da IAM Identity Center

Tutte le e-mail inviate dal servizio IAM Identity Center proverranno dall'indirizzo no-reply@signin.aws ono-reply@login.awsapps.com. Il sistema di posta deve essere configurato in modo da accettare le e-mail da questi indirizzi e-mail del mittente e non gestirle come posta indesiderata o spam.

Errore: non è possibile delete/modify/remove/assign accedere ai set di autorizzazioni forniti nell'account di gestione

Questo messaggio indica che la Amministrazione delegata funzionalità è stata abilitata e che l'operazione tentata in precedenza può essere eseguita correttamente solo da qualcuno che dispone delle autorizzazioni dell'account di gestione in. AWS Organizations Per risolvere il problema, accedi come utente con queste autorizzazioni e prova a eseguire nuovamente l'attività o assegnala a qualcuno che dispone delle autorizzazioni corrette. Per ulteriori informazioni, consulta Registra un account membro.

Errore: token di sessione non trovato o non valido

Questo errore può verificarsi quando un client, ad esempio un browser Web, o Kit di strumenti AWS AWS CLI, tenta di utilizzare una sessione revocata o invalidata sul lato server. Per risolvere il problema, torna all'applicazione client o al sito Web e riprova, effettuando nuovamente l'accesso, se richiesto. A volte ciò potrebbe richiedere l'annullamento anche delle richieste in sospeso, ad esempio un tentativo di connessione in sospeso dall'interno dell'utente. Kit di strumenti AWS IDE