Come posso acquisire e analizzare la risposta SAML per risolvere gli errori quando utilizzo la federazione SAML 2.0 con AWS?

Breve descrizione

Assicurati di aver configurato correttamente Active Directory. Per ulteriori informazioni, consulta AWS Federated Authentication with Active Directory Federation Services (AD FS) (Autenticazione federale AWS con Active Directory Federation Services (AD FS)).

Per configurare l'accesso federato agli account AWS per la prima volta, è consigliabile utilizzare il Centro identità AWS IAM.

Per risolvere gli errori relativi a SAML, intraprendi le seguenti azioni:

• Visualizza e decodifica la risposta SAML nel browser.
• Rivedi i valori nel file decodificato.
• Verifica la presenza di errori e controlla la configurazione.

Risoluzione

Acquisisci e decodifica una risposta SAML

Visualizza la risposta SAML nel browser, quindi utilizza uno strumento di decodifica per estrarre la risposta ricevuta da AWS.

Rivedi i valori nel file decodificato

Rivedi i valori nel file di risposta SAML decodificato:

• Verifica che il valore dell'attributo saml:NameID corrisponda al nome utente dell'utente autenticato.
• Controlla il valore di https://aws.amazon.com/SAML/Attributes/Role. L'ARN e il provider SAML fanno distinzione tra maiuscole e minuscole e l'ARN deve corrispondere alla risorsa nell'account.
• Controlla il valore di https://aws.amazon.com/SAML/Attributes/RoleSessionName. Il valore deve corrispondere al valore nella regola di attestazione. Se configuri il valore dell'attributo per un indirizzo e-mail o un nome account, assicurati che i valori siano corretti. I valori devono corrispondere all'indirizzo e-mail o al nome account dell'utente Active Directory autenticato.

Verifica la presenza di errori e controlla la configurazione

Verifica se i valori contengono errori e controlla che le seguenti configurazioni siano corrette:

• Le regole di attestazione soddisfano gli elementi richiesti e tutti gli ARN sono corretti. Per ulteriori informazioni, consulta Configurare il gestore dell'identità digitale SAML 2.0 con una relazione di attendibilità della parte affidabile e aggiunta di attestazioni.
• Verifica di aver caricato il file di metadata più recente dal gestore dell'identità digitale in AWS, nel gestore SAML. Per ulteriori informazioni, consulta Consentire ai principali federati SAML 2.0 di accedere a Console di gestione AWS.
• Hai configurato correttamente la policy di attendibilità del ruolo AWS Identity and Access Management (AWS IAM). Per ulteriori informazioni, consulta Aggiornamento di una policy di attendibilità del ruolo (console).
• L'utente Active Directory che ha tentato di accedere è membro del gruppo Active Directory per il ruolo IAM.

Per un elenco degli errori, consulta Risoluzione dei problemi di federazione SAML con IAM. Se hai configurato le regole di attestazione in Active Directory, assicurati di configurare le asserzioni SAML per la risposta di autenticazione.

Informazioni correlate

AWSSupport-TroubleshootSAMLIssues