Como posso captar e analisar a resposta do SAML para solucionar erros comuns ao usar a federação do SAML 2.0 com a AWS?

Breve descrição

Verifique se você configurou corretamente o Active Directory. Para obter mais informações, consulte AWS federated authentication with Active Directory Federation Services (AD FS) (Autenticação federada da AWS com os Serviços de federação do Active Directory (AD FS)).

Para configurar o acesso federado às suas contas da AWS pela primeira vez, é uma prática recomendada usar o Centro de identidade do AWS IAM.

Para solucionar erros relacionados ao SAML, realize as seguintes ações:

• Visualize e decodifique a resposta do SAML em seu navegador.
• Examine os valores no arquivo decodificado.
• Verifique se há erros e confirme a configuração.

Resolução

Visualize e decodifique uma resposta do SAML

Visualize a resposta do SAML em seu navegador e use uma ferramenta de decodificação para extrair a resposta que foi enviada para a AWS.

Examine os valores no arquivo decodificado

Examine os valores no arquivo de resposta do SAML decodificado:

• Verifique se o valor do atributo saml:NameID corresponde ao nome de usuário do usuário autenticado.
• Verifique o valor de https://aws.amazon.com/SAML/Attributes/Role. O provedor de ARN e SAML diferencia maiúsculas de minúsculas e o ARN deve corresponder ao recurso em sua conta.
• Verifique o valor de https://aws.amazon.com/SAML/Attributes/RoleSessionName. O valor deve corresponder ao valor na regra de declaração. Se você configurar o valor do atributo para um endereço de e-mail ou um nome de conta, verifique se os valores estão corretos. Os valores devem corresponder ao endereço de e-mail ou nome da conta do usuário autenticado do Active Directory.

Verifique se há erros e confirme a configuração

Verifique se os valores contêm erros e confirme se as seguintes configurações estão corretas:

• As regras de declaração atendem aos elementos necessários e todos os ARNs estão corretos. Para obter mais informações, consulte Configurar o IdP SAML 2.0 com objeto de confiança de terceira parte confiável e adição de declarações.
• Você carregou o arquivo de metadados mais recente do seu IdP para a AWS em seu provedor de SAML. Para obter mais informações, consulte Habilitar o acesso das entidades principais federadas do SAML 2.0 ao Console de gerenciamento da AWS.
• Você configurou corretamente a política de confiança do perfil do AWS Identity and Access Management (AWS IAM). Para obter mais informações, consulte Atualizar a política de confiança de um perfil (console).
• O usuário do Active Directory que tentou fazer login é membro do grupo do Active Directory para o perfil do IAM.

Para ver uma lista de erros, consulte Solucionar problemas de federação do SAML com o IAM. Se você configurou as regras de declaração no Active Directory, certifique-se de Configurar declarações SAML para a resposta de autenticação.

Informações relacionadas

AWSSupport-TroubleshootSAMLIssues