Como posso capturar e analisar a resposta do SAML para solucionar erros comuns ao usar federação do SAML 2.0 com a AWS?

Breve descrição

Verifique se você configurou corretamente o Active Directory. Para mais informações, consulte Autenticação federada da AWS com os Serviços de Federação do Active Directory (AD FS).

Para configurar o acesso federado às suas contas da AWS pela primeira vez, é uma boa prática usar o Centro de Identidade do AWS IAM.

Para solucionar erros relacionados ao SAML, execute as seguintes ações:

• Visualize e decodifique a resposta SAML em seu navegador.
• Revise os valores no arquivo decodificado.
• Verifique se há erros e confirme a configuração.

Resolução

Capture e decodifique uma resposta SAML

Visualize a resposta SAML em seu navegador e, em seguida, use uma ferramenta de decodificação para extrair a resposta que foi enviada para a AWS.

Revise os valores no arquivo decodificado

Examine os valores no arquivo de resposta SAML decodificado:

• Verifique se o valor do atributo saml:NameID corresponde ao nome do usuário autenticado.
• Revise o valor de https://aws.amazon.com/SAML/Attributes/Role. O provedor de ARN e SAML diferenciam maiúsculas de minúsculas e o ARN deve corresponder ao recurso em sua conta.
• Revise o valor de https://aws.amazon.com/SAML/Attributes/RoleSessionName. O valor deve corresponder ao valor na regra de declarações. Se você configurar o valor do atributo para um endereço de e-mail ou nome de conta, verifique se os valores estão corretos. Os valores devem corresponder ao endereço de e-mail ou nome da conta do usuário autenticado do Active Directory.

Verifique se há erros e confirme a configuração

Verifique se os valores contêm erros e confirme se as seguintes configurações estão corretas:

• As regras de declaração atendem aos elementos necessários e todos os ARNs estão corretos. Para mais informações, consulte Configurar o IdP SAML 2.0 com objeto de confiança de terceira parte confiável e adição de declarações.
• Confirme se você carregou o arquivo de metadados mais recente do seu IdP para a AWS em seu provedor de SAML. Para mais informações, consulte Permitir que usuários federados do SAML 2.0 acessem o Console de Gerenciamento da AWS.
• Você configurou corretamente a política de confiança do perfil do AWS Identity and Access Management (IAM). Para mais informações, consulte Como modificar um perfil.
• O usuário do Active Directory que tentou fazer login é membro do grupo do Active Directory para a função IAM.

Para obter uma lista de erros comuns, consulte Solução de problemas de federação do SAML 2.0 com a AWS. Se você configurou as regras de declaração no Active Directory, certifique-se de configurar as asserções SAML para a resposta de autenticação.