翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。 # デスクトップでの Amazon Quick のエンタープライズサインインのトラブルシューティング | | | --- | |  適用先: Enterprise Edition  | | | | --- | |    対象者: システム管理者  | 使用する ID プロバイダーに関係なく、一般的なエンタープライズサインインの問題を解決するには、次のガイダンスを使用します。 **ヒント** サインインの問題の診断に役立つように、サインイン画面からアプリケーションログをエクスポートできます。管理者または AWS サポートに連絡するときは、これらのログを含めます。 **注記** アプリケーションがサインインページに到達できない場合、認証を完了できない場合、またはコンテンツをロードできない場合、問題はネットワークに関連する可能性があります。制限された環境では、必要なドメインが許可リストにあり、ファイアウォールと VPN の設定が接続をブロックしていないことを確認します。必要なドメインのリストについては、「」を参照してください[ネットワークアクセスと必要なドメイン](desktop-security.md#desktop-network-access)。 `redirect_mismatch` エラー IdP のリダイレクト URI が正確に`http://localhost:18080`設定されており、パブリッククライアントまたはネイティブプラットフォームとして設定されていることを確認します。 アクセスがブロックされました: アプリが検証されていません (Google Workspace) このエラーは、OAuth 同意画面が **External** に設定されていることを意味します。でGoogle Cloud Console、 **Google Auth Platform** → **Branding** に移動し、**ユーザータイプ**を **Internal** に設定します。これにより、Google Workspace組織内のユーザーへのサインインが制限されます。 サインイン後にユーザーが見つかりません このエラーには 2 つの一般的な原因があります。 1. **E メールクレームはトークンで返されません。**Microsoft Entra ID の場合、トークン設定の ID トークンに`email`オプションのクレームを追加する必要があります (ステップ 1 を参照）。さらに、ユーザーの **Mail** 属性を Entra ID プロファイルに入力する必要があります。ユーザープリンシパル名 (UPN) だけでは不十分です。 1. **Amazon Quick に一致するユーザーは存在しません。**トークン内の E メールは、プロビジョニングされたユーザーの E メールと完全に一致する必要があります。IAM Identity Center アカウントの場合、Identity Center のユーザーの E メールが一致していることを確認します。E メールマッチングでは、大文字と小文字が区別されます。 トークン検証の失敗 拡張機能アクセス設定の発行者 URL が IdP の OIDC 設定の発行者 URL と正確に一致することを確認します。 無効な発行者エラー (Microsoft Entra ID) 「無効な発行者: https://login.microsoftonline.com/TENANT\_ID/v2.0」でサインインに失敗した場合、拡張アクセス設定の発行者 URL に`/v2.0`パスサフィックスが含まれていることを確認します。Entra ID v2.0 エンドポイントは、 を含む `iss`クレームでトークンを発行します`/v2.0`。サフィックスがない場合は、拡張機能アクセスを削除し、正しい発行者 URL で再作成します。 このアカウントにエンタープライズサインインが設定されていません このエラーは、拡張機能アクセスが作成されたが、拡張機能自体は作成されなかったことを意味します。Amazon Quick コンソールの左側のナビゲーションペインで、**拡張機能** (**詳細**を選択して検索する必要がある場合があります) を選択し、拡張機能を作成し、以前に設定した拡張機能アクセスを選択します。 ユーザー情報リクエストが失敗しました (HTTP 504) これは一時的なバックエンドタイムアウトです。まずウェブブラウザから Amazon Quick アカウントにサインインしてから、デスクトップサインインを再試行してください。エラーが解決しない場合は、Amazon Quick サービスエンドポイントへのネットワーク接続を確認します。必要なドメインのリストについては、「」を参照してください[ネットワークアクセスと必要なドメイン](desktop-security.md#desktop-network-access)。 同意またはアクセス許可エラー (Microsoft Entra ID) Azure ポータルで必要な API アクセス許可に対する管理者の同意を付与します。アプリ登録の **API アクセス許可**ページに移動し、**[組織] の管理者同意を付与**を選択します。 セッションは頻繁に期限切れになる 更新トークンを発行するように IdP が設定されていることを確認します。Microsoft Entra ID の場合、`offline_access`スコープは必須です。Google Workspace の場合は、認可リクエスト`access_type=offline`に を含めます (Quick によって自動的に処理されます）。Okta の場合、更新トークンの付与タイプを有効にし、`offline_access`スコープを付与する必要があります。Ping Identity の場合、更新トークンの付与タイプを有効にし、`offline_access`スコープを付与する必要があります。PingFederate の場合、OIDC ポリシーで **Return ID Token On Refresh Grant** が選択されていることを確認します。 アプリケーションが有効になっていない (PingOne) PingOne ログインページに到達せずに認証がすぐに失敗する場合は、PingOne ****管理者コンソールでアプリケーションの切り替えが有効に設定されていることを確認します。 ユーザー情報リクエストが失敗しました (HTTP 401) (PingOne) アプリケーションの**リソース**タブで必要なスコープが有効になっていません。これは**設定**タブとは別のステップです。 はデフォルトで`openid`スコープのみPingOneを付与します。PingOne 管理コンソールで、アプリケーションの**リソース**タブを開き`email`、、`profile`、`offline_access`スコープを追加します。 JSON ウェブキーセット (JWKS) URI PingOne によるトークン検証の失敗 拡張機能アクセス設定の JWKS URI が `/as/jwks`パス (例: ) を使用していることを確認します`https://auth.pingone.com//as/jwks`。一部のPingOne形式でプレースホルダーとして表示される`/.well-known/jwks.json`可能性がある は使用しないでください。 PingOneはこのパスを使用しません。 更新後の E メールクレームの欠落 (PingFederate) `email` クレームが OIDC ポリシー**属性契約**に含まれ、正しいユーザー属性にマッピングされていることを確認します。マッピングは、初期認証と更新トークンの両方の許可の `email`クレームを生成する必要があります。