如何对 IAM Identity Center SSO 登录失败的问题进行故障排除？

解决方法

IAM Identity Center 登录失败可能有多种原因。使用以下部分排查您的问题。

解决“It's not you, it is us”错误消息

如果您错误地设置了 IAM Identity Center 实例或外部身份提供者 (IdP)，则会收到以下错误消息：

“It's not you, it is us”

确保您在 IAM Identity Center 拥有正确的 IdP 证书，在 IdP 元数据文件中有正确的 NameID 格式。如果您在用于登录的设备上还出现了 AD Connector 服务账户凭证过期或时间同步问题，则会收到“It's not you”错误消息。

要解决此错误，请完成以下步骤：

1. 打开 IAM Identity Center 控制台。
2. 在导航窗格中，选择 Settings（设置）。
3. 选择 Identity source（身份来源）选项卡。
4. 选择 Actions（操作），然后选择 Manage Authentication（管理身份验证）。
5. 验证 IAM Identity Center 中的 IdP 证书是否与来自外部 IdP 的证书相匹配。如果证书不匹配，则从 IdP 导入新证书。
6. 确认您的 IdP 元数据文件中的 NameID 格式设置为 urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress 值。
7. 如果您使用 AWS Directory Service AD Connector 作为身份来源，请验证 AD Connector 服务账户凭证是否有效且未过期。要更新凭证，请参阅 Updating your AD Connector service account credentials in AWS Management Console（在 AWS 管理控制台中更新您的 AD Connector 服务账户凭证）。
8. 查看您的外部 IdP 日志，找出可能解释登录失败的特定身份验证失败或 SAML 断言错误。例如，Okta 系统日志或 Microsoft Entra ID 登录日志。

注意： 要解决时间同步问题，请将设备上的日期和时间设置为自动更新。如果无法自动更新，请将您的设备时间同步到知名网络时间协议 (NTP) 服务器，例如 NIST 网站上的 time.gov。

解决使用外部 IdP 登录时出现的“An unexpected error has occurred”错误消息

如果您使用外部 IdP 登录并且 SAML 配置配置不正确，则可能会收到以下错误：

“An unexpected error has occurred”

注意： 其他 SAML 验证失败也可能出现此错误，例如无效的断言、过期的响应或签名问题。

要解决此错误，请完成以下步骤：

1. 打开 IAM Identity Center 控制台。
2. 在导航窗格中，选择 Users（用户）。
3. 选择受影响的用户，然后确认该用户的状态为 Active（活动）。
4. 验证您的 IdP 发送的 SAML nameID 值是否与 IAM Identity Center 中区分大小写的用户名完全匹配。匹配基于用户名，而不是电子邮件地址。
5. 确认在外部 IdP 中配置的 ACS URL 与您的 IAM Identity Center 实例提供的 ACS URL 相匹配。要查找 IAM Identity Center ACS URL，请选择 Settings（设置），然后选择 Identity source（身份来源）选项卡。
6. 要进一步调查故障，请打开 CloudTrail 控制台并按事件名称 ExternalIdPDirectoryLogin 筛选事件。

解决使用身份验证器应用程序注册或登录时出现的“An unexpected error has occurred”错误

基于时间的一次性密码 (TOTP) 系统需要客户端和服务器之间的时间同步。如果您使用身份验证器应用程序注册或登录，并且设备上的时间与服务器不同步，则可能会收到以下错误消息：

“An unexpected error has occurred”

要解决此错误，请完成以下步骤：

1. 在安装身份验证器应用程序的设备上，打开日期和时间设置。
2. 将日期和时间设置为自动更新。
3. 如果自动更新不可用，则手动设置时间来匹配可靠的时间源。这类时间源包括 NIST 网站上的 time.gov 或您本地 NTP 的同等源等。
4. 同步时间后，请重新尝试登录或注册。

解决 MFA 凭证无效错误

如果您收到多重身份验证 (MFA) 凭证无效错误，则说明存在预调配问题。确保通过 SCIM 协议将来自外部 IdP 的用户账户完全预调配到 IAM Identity Center。

要解决此错误，请完成以下步骤：

1. 检查外部 IdP 中的预调配日志。例如，检查您外部 IdP 中的预调配日志，以确认用户账户已成功预调配到 IAM Identity Center。
2. 确认来自外部 IdP 的用户账户已通过跨域身份管理 (SCIM) 协议完全预调配到 IAM Identity Center。
3. 预调配完成后，请求用户重新尝试登录。

注意： 如果您使用外部 IdP 作为身份来源，则 MFA 由外部 IdP 管理，而不是由 IAM Identity Center 管理。请在外部 IdP 中配置 MFA 设置。

验证用户分配和权限集

如果您可以登录 IAM Identity Center，但无法访问分配的 AWS 账户，则分配给权限集的用户或组不正确。

要验证用户分配，请完成以下步骤：

1. 打开 IAM Identity Center 控制台。
2. 在导航窗格中，选择 AWS accounts（AWS 账户）。
3. 选择用户需要访问的 AWS 账户。
4. 选择 Users and groups（用户和组）选项卡。
5. 确认权限集分配正确的用户或用户组出现在列表中。
   注意： 如果未将用户分配到组，则选择 Assign users or groups（分配用户或组）并配置对 AWS 账户的访问权限。

调试 SAML 断言问题

重要信息： 此解决方法适用于安装 Firefox、Chrome 和 Edge 的 Windows 10。其他浏览器配置和操作系统可能不支持此方法。

如果您收到提示 SAML 配置问题的登录错误，例如“Invalid SAML response”或“Assertion validation failed”，那么您可以直接从 AWS 访问门户查看 SAML 断言的详细信息，以确定具体问题。

要在 IAM Identity Center AWS 访问门户中查看 SAML 断言详细信息，请完成以下步骤：

1. 登录您的 AWS 访问门户。
2. 右键单击应用程序图块，然后从上下文菜单中选择 View SAML Response（查看 SAML 响应）。
3. 查看 You are now in administrator mode（您现在处于管理员模式）页面上的信息。
4. 选择 Copy XML（复制 XML）以保存断言详细信息以供查看。
5. 验证断言是否包含正确的 NameID 格式、NameID 值和有效的证书签名。
6. 选择 Send to（发送至）以继续向服务提供商发送断言。

检查 CloudTrail 日志中是否存在登录失败情况

CloudTrail 会记录 IAM Identity Center 的登录事件。要确定登录失败的根本原因，请查看您的日志。

要查看您的 CloudTrail 日志，请完成以下步骤：

1. 打开 CloudTrail 控制台。
2. 在导航窗格中，选择 Event history（事件历史记录）。
   注意： 事件历史记录仅显示过去 90 天的 CloudTrail 日志。
3. 在 Lookup attributes（查找属性）下拉列表中，选择 Event source（事件源）。
4. 在搜索栏中输入 sso.amazonaws.com 或 signin.amazonaws.com。
5. 使用以下名称查看事件以确定失败原因：
   UserAuthentication
   ExternalIdPDirectoryLogin
   CredentialChallenge
   CredentialVerification
6. 选择一个事件，然后查看事件详细信息中的 ErrorMessage 字段以确定具体的失败原因。

相关信息

Troubleshooting IAM Identity Center issues（对 IAM Identity Center 问题进行故障排除）

How to connect to an external identity provider（如何连接到外部身份提供者）

Using SAML and SCIM identity federation with external identity providers（将外部身份提供者与 SAML 和 SCIM 身份联合验证结合使用）

Troubleshooting AWS account sign-in issues（对 AWS 账户登录问题进行故障排除）