IAM Identity Center 문제 해결

다음은 IAM Identity Center 콘솔을 설정하거나 사용하는 동안 발생할 수 있는 일반적인 문제를 해결하는 데 도움이 될 수 있습니다.

IAM Identity Center의 계정 인스턴스 생성 문제

IAM Identity Center의 계정 인스턴스를 생성할 때는 몇 가지 제한이 적용될 수 있습니다. IAM Identity Center 콘솔 또는 지원되는 AWS 관리형 애플리케이션의 설치 환경을 통해 계정 인스턴스를 생성할 수 없는 경우 다음 사용 사례 확인:

IAM Identity Center에서 사용하도록 사전 구성된 클라우드 애플리케이션 목록을 보려고 하면 오류가 발생합니다.

다음 오류는 sso:ListApplications를 허용하지만 다른 IAM Identity Center API는 허용하지 않는 정책이 있을 때 발생합니다. 정책을 업데이트하여 이 오류를 해결하세요.

ListApplications 권한은 여러 API를 승인합니다.

중복 해결에 도움이 되도록 내부 API에서 이제 ListApplicationProviders 작업 사용을 승인합니다. 퍼블릭 ListApplications API를 허용하지만 내부 API를 거부하려면 정책에 ListApplicationProviders 작업을 거부하는 문을 포함해야 합니다.

      "Statement": [
    {
         "Effect": "Deny",
         "Action": "sso:ListApplicationProviders",
         "Resource": "*"
    },
    {
        "Effect": "Allow",
        "Action": "sso:ListApplications",
        "Resource": "<instanceArn>" // (or "*" for all instances)
    }
]
    

내부 API를 허용하지만 ListApplications를 거부하려면 정책에서 ListApplicationProviders만 허용해야 합니다. 명시적으로 허용되지 않는 경우 ListApplications API가 거부됩니다.

      "Statement": [
    {
         "Effect": "Allow",
         "Action": "sso:ListApplicationProviders",
         "Resource": "*"
    }
]
    

정책이 업데이트되면 AWS Support에 문의하여 이 사전 조치 제거를 요청합니다.

IAM Identity Center에서 생성된 SAML 어설션 콘텐츠 관련 문제

IAM Identity Center는 AWS 액세스 포털에서 AWS 계정 및 SAML 애플리케이션에 액세스할 때 이러한 어설션 내의 속성을 포함하여 IAM Identity Center에서 생성 및 전송한 SAML 어설션에 대한 웹 기반 디버그 환경을 제공합니다. IAM Identity Center에서 생성하는 SAML 어설션의 세부 정보를 보려면 다음 단계를 사용하세요.

특정 사용자가 외부 SCIM 공급자로부터 IAM Identity Center로 동기화하지 못함

SCIM 동기화를 사용하여 사용자를 IAM Identity Center에 프로비저닝하도록 ID 제공업체(IdP)가 구성된 경우 사용자 프로비저닝 프로세스 중에 동기화 실패가 발생할 수 있습니다. 이는 IdP의 사용자 구성이 IAM Identity Center 요구 사항과 호환되지 않음을 나타내는 것일 수 있습니다. 이 경우 IAM Identity Center SCIM API는 문제의 근본 원인에 대한 이해를 제공하는 오류 메시지를 반환합니다. 이러한 오류 메시지는 IdP의 로그 또는 UI에서 찾을 수 있습니다. 또는 AWS CloudTrail 로그에서 프로비저닝 실패에 관한 보다 상세한 정보를 확인할 수 있습니다.

사용자 객체에 대한 필수적이거나 선택적인, 또는 지원되지 않는 파라미터 및 작업 사양을 포함하여 IAM Identity Center SCIM 구현에 대한 자세한 내용은 SCIM 개발자 가이드의 IAM Identity Center SCIM 구현 개발자 지침에서 확인할 수 있습니다.

이러한 오류가 발생하는 몇 가지 일반적인 이유는 다음과 같습니다.

외부 ID 제공업체에서 사용자 또는 그룹을 프로비저닝할 때의 중복 사용자 또는 그룹 오류

외부 ID 제공업체(IdP)에서 사용자 또는 그룹을 프로비저닝할 때 IAM Identity Center 동기화 문제가 발생하는 경우 이는 외부 IdP 사용자 또는 그룹에 고유한 속성 값이 없기 때문일 수 있습니다. 외부 IdP에 다음과 같은 오류 메시지가 표시될 수 있습니다.

새 중복 리소스 생성이 거부되었습니다

이러한 문제를 겪을 수 있는 시나리오는 다음과 같습니다.

외부 IdP 사용자가 IAM Identity Center로 성공적으로 동기화되려면 사용자 이름, 기본 이메일 주소, externalID가 고유해야 합니다. 마찬가지로 외부 IdP 그룹이 IAM Identity Center로 성공적으로 동기화되려면 그룹 이름이 고유해야 합니다.

이에 대한 해결 방법은 ID 소스의 속성을 검토하고 해당 속성이 고유한지 확인하는 것입니다.

사용자 이름이 UPN 형식인 경우 사용자는 로그인할 수 없습니다.

로그인 페이지에서 사용자 이름을 입력할 때 사용하는 형식에 따라 사용자는 AWS 액세스 포털에 로그인하지 못할 수 있습니다. 대부분의 경우 사용자는 일반 사용자 이름, 하위 수준 로그온 이름 (DOMAIN\UserName) 또는 UPN 로그온 이름(UserName@Corp.Example.com)을 사용하여 사용자 포털에 로그인할 수 있습니다. 단, IAM Identity Center가 MFA를 통해 활성화된 연결된 디렉터리를 사용하고 있고 검증 모드가 Context-aware 또는 Always-on으로 설정된 경우는 예외입니다. 이 시나리오에서 사용자는 하위 수준의 로그온 이름(DOMAIN\ UserName)으로 로그인해야 합니다. 자세한 내용은 Identity Center 사용자를 위한 다중 인증 단원을 참조하십시오. Active Directory에 로그인하는 데 사용되는 사용자 이름 형식에 대한 일반적인 정보는 Microsoft 설명서 웹 사이트의 사용자 이름 형식을 참조하세요.

IAM 역할을 수정할 때 '보호된 역할에서 작업을 수행할 수 없습니다' 오류가 발생합니다.

계정의 IAM 역할을 검토할 때 'AWSReservedSSO_'로 시작하는 역할 이름을 보일 수 있습니다. 이러한 역할은 IAM Identity Center 서비스가 계정에 생성한 역할로, 계정에 권한 세트를 할당하여 만들어졌습니다. IAM 콘솔 내에서 이러한 역할을 수정하려고 하면 다음 오류가 발생합니다.

'Cannot perform the operation on the protected role 'AWSReservedSSO_RoleName_Here' - this role is only modifiable by AWS'

이러한 역할은 AWS Organizations의 관리 계정에 있는 IAM Identity Center 관리자 콘솔에서만 수정할 수 있습니다. 수정한 후에는 당 변경 사항이 할당된 AWS 계정으로 푸시할 수 있습니다.

디렉터리 사용자는 비밀번호를 재설정할 수 없습니다.

디렉토리 사용자가 AWS 액세스 포털에 로그인하는 동안 비밀번호를 잊으셨나요? 옵션을 사용하여 비밀번호를 재설정하는 경우, 새 비밀번호는 IAM Identity Center에서 ID를 관리할 때 암호 요구 사항에 설명된 기본 비밀번호 정책을 준수해야 합니다.

사용자가 정책을 준수하는 비밀번호를 입력한 후 오류 We couldn't update your password가 발생하는 경우 AWS CloudTrail에 실패로 기록되었는지 확인합니다. 이 작업은 CloudTrail의 이벤트 기록 콘솔에서 다음 필터를 사용하여 검색하면 됩니다.

"UpdatePassword"

다음과 같은 메시지가 표시되면 지원팀에 문의해야 할 수 있습니다.

"errorCode": "InternalFailure",
      "errorMessage": "An unknown error occurred“

이 문제의 또 다른 가능한 원인은 사용자 이름 값에 적용된 명명 규칙일 수 있습니다. 명명 규칙은 'surname.givenName'과 같은 특정 패턴을 따라야 합니다. 하지만 일부 사용자 이름은 상당히 길거나 특수 문자를 포함할 수 있으며, 이로 인해 API 직접 호출에서 문자가 누락되어 오류가 발생할 수 있습니다. 동일한 방식으로 테스트 사용자에게 비밀번호 재설정을 시도하여 이 경우가 맞는지 확인할 수 있습니다.

문제가 지속된다면 AWS 지원 센터에 문의하세요.

내 사용자는 권한 집합에서 참조할 수 있지만 할당된 계정이나 애플리케이션에 액세스할 수 없습니다.

이 문제는 외부 ID 제공업체를 통해 자동 프로비저닝을 위해 SCIM(System for Cross-domain Identity Management)을 사용하는 경우 발생할 수 있습니다. 특히, 사용자 또는 사용자가 구성원으로 속했던 그룹을 삭제한 후 ID 공급업체에서 동일한 사용자 이름(사용자의 경우) 또는 이름(그룹)을 사용하여 다시 생성하면 IAM Identity Center에서 새 사용자 또는 그룹에 대한 새 고유 내부 식별자가 만들어집니다. 하지만 IAM Identity Center의 권한 데이터베이스에는 여전히 이전 식별자에 대한 참조가 있기 때문에 사용자 또는 그룹의 이름은 UI에 계속 표시되지만 액세스는 실패합니다. UI가 참조하는 기본 사용자 또는 그룹 ID가 더 이상 존재하지 않기 때문입니다.

이 경우 AWS 계정 액세스를 복원하려면 원래 할당된 AWS 계정에서 이전 사용자 또는 그룹 액세스 권한을 제거한 다음 해당 사용자 또는 그룹에 다시 액세스 권한을 할당하면 됩니다. 그러면 새 사용자 또는 그룹의 올바른 식별자로 권한 집합이 업데이트됩니다. 마찬가지로 애플리케이션 액세스를 복원하려면 해당 애플리케이션에 할당된 사용자 목록에서 사용자 또는 그룹의 액세스 권한을 제거한 다음 사용자 또는 그룹을 다시 추가하면 됩니다.

또한 CloudTrail 로그에서 해당 사용자 또는 그룹의 이름을 참조하는 SCIM 동기화 이벤트를 검색하여 AWS CloudTrail가 실패를 기록했는지 확인할 수도 있습니다.

애플리케이션 카탈로그에서 애플리케이션을 올바르게 구성할 수 없음

IAM Identity Center의 애플리케이션 카탈로그에서 애플리케이션을 추가한 경우, 각 서비스 공급자가 자체적으로 상세한 설명서를 제공합니다. 이 정보는 IAM Identity Center 콘솔에서 해당 애플리케이션의 구성 탭에서 확인할 수 있습니다.

서비스 공급업체의 애플리케이션과 IAM Identity Center 간 신뢰 설정과 관련된 문제인 경우, 사용 설명서에서 문제 해결 단계를 참조하세요.

사용자가 외부 ID 공급업체를 통해 로그인하려고 할 때 “예기치 않은 오류가 발생했습니다” 오류가 표시됩니다.

이 오류는 여러 가지 이유로 발생할 수 있지만 일반적인 원인 중 하나는 SAML 요청에 포함된 사용자 정보와 IAM Identity Center의 사용자 정보가 일치하지 않기 때문입니다.

외부 IdP를 ID 소스로 사용할 때 IAM Identity Center 사용자가 성공적으로 로그인하려면 다음 조건을 충족해야 합니다.

이 오류는 ID 제공업체에 구성된 Assertion Consumer Service(ACS) 엔드포인트가 IAM Identity Center 인스턴스에서 제공한 ACS URL과 일치하지 않을 때 발생할 수도 있습니다. 이 두 값이 정확히 일치하는지 확인합니다.

또한 AWS CloudTrail로 이동한 다음 이벤트 이름 ExternalIdPDirectoryLogin으로 필터링하여 외부 ID 제공업체 로그인 실패 문제를 해결할 수 있습니다.

'액세스 제어 속성을 활성화하지 못했습니다' 오류

이 오류는 ABAC를 활성화하는 사용자에게 액세스 제어를 위한 속성를 활성화하는 데 필요한 iam:UpdateAssumeRolePolicy 권한이 없는 경우 발생할 수 있습니다.

MFA에 디바이스를 등록하려고 할 때 '브라우저가 지원되지 않습니다' 메시지가 표시됩니다.

WebAuthn은 현재 Google Chrome, Mozilla Firefox, Microsoft Edge, Apple Safari 웹 브라우저와 Windows 10 및 Android 플랫폼에서 지원됩니다. macOS 및 iOS 브라우저에서 플랫폼 인증 지원 등 WebAuthn 지원의 일부 구성 요소는 다양할 수 있습니다. 사용자가 지원되지 않는 브라우저 또는 플랫폼에서 WebAuthn 디바이스를 등록하려고 하면 지원되지 않는 특정 옵션이 회색으로 표시되거나 지원되는 모든 방법이 지원되지 않는다는 오류 메시지가 표시됩니다. 이러한 경우 브라우저/플랫폼 지원에 대한 자세한 내용은 FIDO2: 웹 인증 (WebAuthn)을 참조하세요. IAM Identity Center WebAuthn에 대한 자세한 내용은 FIDO2 인증자을 참조하세요.

Active Directory “도메인 사용자” 그룹이 IAM Identity Center에 제대로 동기화되지 않습니다.

Active Directory 도메인 사용자 그룹은 AD 사용자 객체의 기본 "기본 그룹"입니다. IAM Identity Center에서는 Active Directory 기본 그룹과 해당 구성원 자격을 읽을 수 없습니다. IAM Identity Center 리소스 또는 애플리케이션에 대한 액세스 권한을 할당할 때는 그룹 구성원 자격이 IAM Identity Center ID 저장소에 제대로 반영되도록 도메인 사용자 그룹 이외의 그룹(또는 기본 그룹으로 할당된 다른 그룹)을 사용합니다.

잘못된 MFA 보안 인증 오류

이 오류는 사용자가 SCIM 프로토콜을 사용하여 계정이 IAM Identity Center에 완전히 프로비저닝되기 전에 외부 ID 제공업체(예: Okta 또는Microsoft Entra ID)의 계정을 사용하여 IAM Identity Center에 로그인을 시도할 때 발생할 수 있습니다. 사용자 계정을 IAM Identity Center에 프로비저닝한 후에는 이 문제를 해결해야 합니다. 계정이 IAM Identity Center에 프로비저닝되었는지 확인합니다. 그렇지 않은 경우 외부 ID 제공업체의 프로비저닝 로그를 확인합니다.

인증 앱으로 등록하거나 로그인하려고 시도하면 '예상치 못한 오류가 발생했습니다'라는 메시지가 나타납니다.

IAM Identity Center가 코드 기반 인증 앱과 함께 사용하는 것과 같은 시간 기반 일회용 암호(TOTP) 시스템은 클라이언트와 서버 간의 시간 동기화에 의존합니다. 인증 앱이 설치된 디바이스가 신뢰할 수 있는 시간 출처와 올바르게 동기화되었는지 확인하거나, NIST(https://www.time.gov/) 또는 기타 지역/리전별 등가물과 같은 신뢰할 수 있는 출처와 일치하도록 디바이스의 시간을 수동으로 설정하세요.

IAM Identity Center에 로그인하려고 시도할 때 "사용자가 아닌 우리 쪽에서 문제가 발생했습니다"라는 오류가 표시됩니다.

이 오류는 IAM Identity Center 인스턴스 또는 IAM Identity Center가 ID 소스로 사용하는 외부 ID 제공업체(IdP)에 설정 문제가 있음을 나타냅니다. 다음을 확인할 것을 권장합니다.

내 사용자가 IAM Identity Center로부터 이메일을 받지 못하고 있습니다.

IAM Identity Center 서비스에서 보내는 모든 이메일은 주소 no-reply@signin.aws 또는 no-reply@login.awsapps.com 에서 발송됩니다. 메일 시스템은 이러한 발신자 이메일 주소에서 오는 이메일을 수신하고 이를 정크 또는 스팸으로 처리하지 않도록 구성해야 합니다.

오류: 관리 계정에 프로비저닝된 권한 집합에 대한 액세스 권한을 삭제/수정/제거/할당할 수 없습니다.

이 메시지는 위임된 관리 기능이 활성화되었으며 앞서 시도한 작업을 AWS Organizations의 관리 계정 권한이 있는 사람만이 성공적으로 수행할 수 있음을 나타냅니다. 이 문제를 해결하려면 이러한 권한이 있는 사용자로 로그인하여 작업을 다시 수행하거나 올바른 권한이 있는 사람에게 이 작업을 할당합니다. 자세한 내용은 멤버 계정 등록 단원을 참조하십시오.

오류: 세션 토큰을 찾을 수 없거나 세션 토큰이 유효하지 않습니다

이 오류는 웹 브라우저, AWS Toolkit, AWS CLI와 같은 클라이언트가 서버 측에서 취소하거나 무효화한 세션을 사용하려고 할 때 발생할 수 있습니다. 이 문제를 해결하려면 메시지가 표시될 때 다시 로그인하는 것을 포함하여 클라이언트 애플리케이션 또는 웹 사이트로 돌아가 다시 시도합니다. 경우에 따라 IDE 내 AWS Toolkit의 보류 중인 연결 시도와 같은 보류 중인 요청도 취소해야 할 수 있습니다.