As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
# Solução de problemas de login corporativo para o Amazon Quick no desktop
| |
| --- |
| Aplica-se a: Enterprise Edition |
| |
| --- |
| Público-alvo: administradores de sistemas |
Use as diretrizes a seguir para resolver problemas comuns de login corporativo, independentemente do provedor de identidade que você usa.
**dica**
Para ajudar a diagnosticar um problema de login, você pode exportar os registros do aplicativo da tela de login. Inclua esses registros ao entrar em contato com seu administrador ou com o AWS Suporte.
**nota**
Se o aplicativo não conseguir acessar a página de login, concluir a autenticação ou carregar conteúdo, o problema pode estar relacionado à rede. Em ambientes restritos, confirme se os domínios necessários estão na sua lista de permissões e se as configurações de firewall e VPN não estão bloqueando as conexões. Para ver a lista de domínios necessários, consulte[Acesso à rede e domínios necessários](desktop-security.md#desktop-network-access).
Erro `redirect_mismatch`
Verifique se o URI de redirecionamento em seu IdP é exato `http://localhost:18080` e está configurado como cliente público ou plataforma nativa.
Acesso bloqueado: aplicativo não verificado (Google Workspace)
Esse erro significa que a tela de consentimento do OAuth está definida como Externa. ** ** NoGoogle Cloud Console, navegue até ** Google Auth Platform ** → ** Marca ** e defina o Tipo ** de ** usuário como ** Interno**, o que restringe o login aos usuários da sua organização. Google Workspace
Usuário não encontrado após o login
Esse erro tem duas causas comuns:
1. **A reclamação por e-mail não está sendo devolvida no token. ** Para o Microsoft Entra ID, você deve adicionar a declaração `email` opcional ao token de ID em Configuração do token (consulte a Etapa 1). Além disso, o ** atributo ** Mail do usuário deve ser preenchido em seu perfil Entra ID. O nome principal do usuário (UPN) por si só não é suficiente.
1. **Não existe nenhum usuário correspondente no Amazon Quick. ** O e-mail no token deve corresponder exatamente ao e-mail de um usuário provisionado. Para contas do IAM Identity Center, verifique se o e-mail do usuário no Identity Center corresponde. A correspondência de e-mails diferencia maiúsculas de minúsculas.
Falha na validação do token
Verifique se o URL do emissor na configuração de acesso à extensão corresponde exatamente ao URL do emissor na configuração OIDC do seu IdP.
Erro de emissor inválido (Microsoft Entra ID)
Se o login falhar com “Emissor inválido: https://login.microsoftonline.com/TENANT\_ID/v2.0 “, verifique se o URL do emissor na configuração de acesso à extensão inclui o sufixo do caminho. `/v2.0` O endpoint Entra ID v2.0 emite tokens com uma `iss` declaração que inclui. `/v2.0` Se o sufixo estiver ausente, exclua o acesso à extensão e recrie-o com a URL correta do emissor.
O login corporativo não está configurado para esta conta
Esse erro significa que o acesso à extensão foi criado, mas a extensão em si não. No console do Amazon Quick, no painel de navegação esquerdo, escolha ** Extensões ** (talvez seja necessário escolher ** Mais ** para encontrá-la) e crie a extensão, selecionando o acesso à extensão que você configurou anteriormente.
Falha na solicitação de informações do usuário (HTTP 504)
Esse é um tempo limite de back-end transitório. Faça login na sua conta Amazon Quick primeiro pelo navegador da web e, em seguida, tente novamente o login no desktop. Se o erro persistir, verifique a conectividade da rede com o endpoint de serviço Amazon Quick. Para ver a lista de domínios necessários, consulte[Acesso à rede e domínios necessários](desktop-security.md#desktop-network-access).
Erros de consentimento ou permissão (Microsoft Entra ID)
Conceda o consentimento do administrador para as permissões de API necessárias no portal do Azure. Navegue até a ** página de permissões de ** API do registro do aplicativo e escolha ** Conceder consentimento de administrador para [sua organização]**.
A sessão expira com frequência
Verifique se seu IdP está configurado para emitir tokens de atualização. Para o Microsoft Entra ID, o `offline_access` escopo é obrigatório. Para o Google Workspace, inclua `access_type=offline` na solicitação de autorização (tratada automaticamente pelo Quick). Para Okta, o tipo de concessão do Refresh Token deve estar ativado e o `offline_access` escopo deve ser concedido. Para Ping Identity, o tipo de concessão do Refresh Token deve estar ativado e o `offline_access` escopo deve ser concedido. Para PingFederate, verifique também se o token de ID de ** devolução na concessão de atualização ** está selecionado na política do OIDC.
Aplicativo não ativado (PingOne)
Se a autenticação falhar imediatamente sem acessar a página de PingOne login, verifique se o botão de alternância do aplicativo está definido como ** Ativado ** no console de PingOne administração.
Falha na solicitação de informações do usuário (HTTP 401) (PingOne)
Os escopos necessários não estão habilitados na ** guia ** Recursos do aplicativo. Essa é uma etapa separada da ** guia ** Configuração: PingOne concede somente o `openid` escopo por padrão. No console de PingOne administração, abra a ** guia ** Recursos do aplicativo e adicione os `offline_access` escopos `email``profile`, e.
Falha na validação do token com um PingOne URI JSON Web Key Set (JWKS)
Verifique se o URI do JWKS em sua configuração de acesso à extensão usa o `/as/jwks` caminho (por exemplo,`https://auth.pingone.com//as/jwks`). Não use`/.well-known/jwks.json`, que pode aparecer como um espaço reservado em alguns PingOne formulários. PingOnenão usa esse caminho.
Solicitação de e-mail ausente após a atualização () PingFederate
Verifique se a `email` declaração está incluída no Contrato de Atributo da política do OIDC ** e mapeada para o ** atributo correto do usuário. O mapeamento deve produzir a `email` solicitação tanto para a autenticação inicial quanto para as concessões do token de atualização.