Behebung von Problemen mit IAM Identity Center

Im Folgenden können Sie einige häufig auftretende Probleme beheben, die bei der Einrichtung oder Verwendung der IAM Identity Center-Konsole auftreten können.

Probleme beim Erstellen einer Kontoinstanz von IAM Identity Center

Bei der Erstellung einer Kontoinstanz von IAM Identity Center können mehrere Einschränkungen gelten. Wenn Sie keine Kontoinstanz über die IAM Identity Center-Konsole oder die Einrichtung einer unterstützten AWS verwalteten Anwendung erstellen können, überprüfen Sie die folgenden Anwendungsfälle:

• Klicken Sie AWS-Regionen in der Instanz, AWS-Konto in der Sie versuchen, die Kontoinstanz zu erstellen, auf andere Instanzen. Sie sind auf eine Instanz von IAM Identity Center pro AWS-Konto Instanz beschränkt. Um die Anwendung zu aktivieren, wechseln Sie entweder zu der AWS-Region mit der Instanz von IAM Identity Center oder zu einem Konto ohne eine Instanz von IAM Identity Center.

• Wenn Ihre Organisation IAM Identity Center vor dem 14. September 2023 aktiviert hat, muss Ihr Administrator möglicherweise der Erstellung einer Kontoinstanz zustimmen. Arbeiten Sie mit Ihrem Administrator zusammen, um die Erstellung von Kontoinstanzen über die IAM Identity Center-Konsole im Verwaltungskonto zu aktivieren.

• Ihr Administrator hat möglicherweise eine Service Control-Richtlinie erstellt, um die Erstellung von Kontoinstanzen von IAM Identity Center einzuschränken. Arbeiten Sie mit Ihrem Administrator zusammen und fügen Sie Ihr Konto zur Zulassungsliste hinzu.

Sie erhalten eine Fehlermeldung, wenn Sie versuchen, die Liste der Cloud-Anwendungen aufzurufen, die für die Verwendung mit IAM Identity Center vorkonfiguriert sind

Der folgende Fehler tritt auf, wenn Sie eine Richtlinie haben, die andere IAM Identity Center-APIs zulässt, sso:ListApplications aber nicht. Aktualisieren Sie Ihre Richtlinie, um diesen Fehler zu beheben.

Die ListApplications Erlaubnis autorisiert mehrere APIs:

• Die ListApplications API.

• Eine interne API, die der in der IAM Identity Center-Konsole verwendeten ListApplicationProviders API ähnelt.

Um Duplikate zu vermeiden, autorisiert die interne API jetzt auch die Verwendung der Aktion. ListApplicationProviders Um die öffentliche ListApplications API zuzulassen, die interne API jedoch abzulehnen, muss Ihre Richtlinie eine Erklärung enthalten, die die Aktion ablehnt: ListApplicationProviders

      "Statement": [
    {
         "Effect": "Deny",
         "Action": "ListApplicationProviders",
         "Resource": "*"
    },
    {
        "Effect": "Allow",
        "Action": "ListApplications",
        "Resource": "<instanceArn>" // (or "*" for all instances)
    }
]
    

Um die interne API zuzulassen, aber abzulehnenListApplications, muss die Richtlinie nur ListApplicationProviders zulassen. Die ListApplications API wird verweigert, wenn sie nicht ausdrücklich erlaubt ist.

      "Statement": [
    {
         "Effect": "Allow",
         "Action": "ListApplicationProviders",
         "Resource": "*"
    }
]
    

Wenn Ihre Richtlinien aktualisiert werden, wenden Sie sich an uns, AWS Support um diese proaktive Maßnahme entfernen zu lassen.

Probleme mit dem Inhalt von SAML-Assertionen, die von IAM Identity Center erstellt wurden

IAM Identity Center bietet eine webbasierte Debug-Oberfläche für die von IAM Identity Center erstellten und gesendeten SAML-Assertions, einschließlich der Attribute in diesen Assertionen, beim Zugriff auf SAML-Anwendungen über das Zugriffsportal. AWS-Konten AWS Gehen Sie wie folgt vor, um die Details einer von IAM Identity Center generierten SAML-Assertion zu sehen.

1. Melden Sie sich beim Zugriffsportal anAWS.

2. Halten Sie die Umschalttaste gedrückt, während Sie im Portal angemeldet sind, wählen Sie die Anwendungskachel aus, und lassen Sie dann die Umschalttaste los.

3. Überprüfen Sie die Informationen auf der Seite mit dem Titel You are now in administrator mode (Sie befinden sich jetzt im Administratormodus). Um diese Informationen zum future Nachschlagen aufzubewahren, wählen Sie „XML kopieren“ und fügen Sie den Inhalt an einer anderen Stelle ein.

4. Wählen Sie Senden an, <application>um fortzufahren. Diese Option sendet die Assertion an den Dienstanbieter.

Anmerkung

Einige Browserkonfigurationen und Betriebssysteme unterstützen dieses Verfahren möglicherweise nicht. Dieses Verfahren wurde unter Windows 10 mit den Browsern Firefox, Chrome und Edge getestet.

Bestimmte Benutzer können sich von einem externen SCIM-Anbieter nicht mit dem IAM Identity Center synchronisieren

Wenn die SCIM-Synchronisierung für eine Teilmenge von Benutzern, die in Ihrem IdP für die Bereitstellung im IAM Identity Center konfiguriert sind, erfolgreich ist, für andere jedoch fehlschlägt, wird möglicherweise ein Fehler angezeigt, der dem Ihres Identitätsanbieters ähnelt. 'Request is unparsable, syntactically incorrect, or violates schema' Möglicherweise finden Sie auch detaillierte Fehlermeldungen bei der Bereitstellung unter. AWS CloudTrail

Dieses Problem weist häufig darauf hin, dass der Benutzer in Ihrem IdP auf eine Weise konfiguriert ist, die IAM Identity Center nicht unterstützt. Vollständige Informationen zur SCIM-Implementierung von IAM Identity Center, einschließlich der Spezifikationen der erforderlichen, optionalen und verbotenen Parameter und Operationen für Benutzerobjekte, finden Sie im IAM Identity Center SCIM Implementation Developer Guide. Der SCIM Developer Guide sollte als maßgebend für Informationen zu den SCIM-Anforderungen angesehen werden. Im Folgenden sind jedoch einige häufige Gründe für diesen Fehler aufgeführt:

1. Dem Benutzerobjekt im IdP fehlt ein Vorname (Vorname), ein Nachname (Familien-) Name und/oder ein Anzeigename.

   1. Lösung: Fügen Sie einen Vornamen (angegeben), einen Nachnamen (Familie) und einen Anzeigenamen für das Benutzerobjekt hinzu. Stellen Sie außerdem sicher, dass die SCIM-Bereitstellungszuordnungen für Benutzerobjekte bei Ihrem IdP so konfiguriert sind, dass sie nicht leere Werte für all diese Attribute senden.

2. Es wird mehr als ein Wert für ein einzelnes Attribut an den Benutzer gesendet (auch als „Attribute mit mehreren Werten“ bezeichnet). Beispielsweise kann der Benutzer sowohl eine geschäftliche als auch eine private Telefonnummer im IdP angegeben haben oder mehrere E-Mails oder physische Adressen, und Ihr IdP ist so konfiguriert, dass er versucht, mehrere oder alle Werte für dieses Attribut zu synchronisieren.

   1. Lösungsoptionen:

      1. Aktualisieren Sie Ihre SCIM-Bereitstellungszuordnungen für Benutzerobjekte bei Ihrem IdP, sodass nur ein einziger Wert für ein bestimmtes Attribut gesendet wird. Konfigurieren Sie beispielsweise eine Zuordnung, bei der nur die geschäftliche Telefonnummer für jeden Benutzer gesendet wird.

      2. Wenn die zusätzlichen Attribute sicher aus dem Benutzerobjekt am IdP entfernt werden können, können Sie die zusätzlichen Werte entfernen, sodass entweder ein oder kein Wert für dieses Attribut für den Benutzer festgelegt bleibt.

      3. Wenn das Attribut für keine Aktionen in benötigt wirdAWS, entfernen Sie die Zuordnung für dieses Attribut aus den SCIM-Bereitstellungszuordnungen für Benutzerobjekte bei Ihrem IdP.

3. Ihr IdP versucht, Benutzer im Ziel (in diesem Fall IAM Identity Center) anhand mehrerer Attribute zuzuordnen. Da Benutzernamen innerhalb einer bestimmten IAM Identity Center-Instanz garantiert eindeutig sind, müssen Sie nur das für den username Abgleich verwendete Attribut angeben.

   1. Lösung: Stellen Sie sicher, dass Ihre SCIM-Konfiguration in Ihrem IdP nur ein einziges Attribut für den Abgleich mit Benutzern in IAM Identity Center verwendet. Beispielsweise ist die Zuordnung username oder userPrincipalName im IdP zum userName Attribut in SCIM für die Bereitstellung im IAM Identity Center korrekt und für die meisten Implementierungen ausreichend.

Benutzer können sich nicht anmelden, wenn ihr Benutzername im UPN-Format ist

Benutzer können sich aufgrund des Formats, das sie für die Eingabe ihres Benutzernamens auf der Anmeldeseite verwenden, möglicherweise nicht beim AWS Access-Portal anmelden. In den meisten Fällen können sich Benutzer entweder mit ihrem einfachen Benutzernamen, ihrem untergeordneten Anmeldenamen (DOMAIN\UserName) oder ihrem UPN-Anmeldenamen () beim Benutzerportal anmelden. [e-mail] Die Ausnahme ist, wenn IAM Identity Center ein verbundenes Verzeichnis verwendet, das mit MFA aktiviert wurde und der Bestätigungsmodus entweder auf Kontextsensitiv oder Always-on eingestellt wurde. In diesem Szenario müssen sich Benutzer mit ihrem untergeordneten Anmeldenamen (DOMAIN\) anmelden. UserName Weitere Informationen finden Sie unter Multi-Faktor-Authentifizierung für Identity Center-Benutzer. Allgemeine Informationen zu Benutzernamenformaten, die für die Anmeldung bei Active Directory verwendet werden, finden Sie unter Benutzernamenformate auf der Microsoft-Dokumentationswebsite.

Beim Ändern einer IAM-Rolle erhalte ich die Fehlermeldung „Der Vorgang kann mit der geschützten Rolle nicht ausgeführt werden“

Bei der Überprüfung der IAM-Rollen in einem Konto fallen Ihnen möglicherweise Rollennamen auf, die mit '_' beginnen. AWSReservedSSO Dies sind die Rollen, die der IAM Identity Center-Dienst für das Konto erstellt hat. Sie stammen aus der Zuweisung eines Berechtigungssatzes für das Konto. Der Versuch, diese Rollen von der IAM-Konsole aus zu ändern, führt zu dem folgenden Fehler:

'Cannot perform the operation on the protected role 'AWSReservedSSO_RoleName_Here' - this role is only modifiable by AWS'

Diese Rollen können nur über die IAM Identity Center-Administratorkonsole geändert werden, die sich im Verwaltungskonto von befindet. AWS Organizations Nach der Änderung können Sie die Änderungen dann auf die AWS Konten übertragen, denen sie zugewiesen sind.

Verzeichnisbenutzer können ihr Passwort nicht zurücksetzen

Wenn ein Verzeichnisbenutzer sein Passwort mit der Option „Passwort vergessen“ zurücksetzt? Bei der Anmeldung am AWS Zugriffsportal muss das neue Passwort den standardmäßigen Passwortrichtlinien entsprechen, wie unter beschrieben. Passwortanforderungen bei der Verwaltung von Identitäten im IAM Identity Center

Wenn ein Benutzer ein Passwort eingibt, das der Richtlinie entspricht, und dann die Fehlermeldung erhältWe couldn't update your password, überprüfen Sie, ob der Fehler AWS CloudTrail aufgezeichnet wurde. Suchen Sie dazu in der Konsole „Event History“ nach oder CloudTrail verwenden Sie den folgenden Filter:

"UpdatePassword"

Wenn in der Nachricht Folgendes steht, müssen Sie sich möglicherweise an den Support wenden:

"errorCode": "InternalFailure",
      "errorMessage": "An unknown error occurred“

Eine weitere mögliche Ursache für dieses Problem liegt in der Benennungskonvention, die auf den Benutzernamenwert angewendet wurde. Benennungskonventionen müssen bestimmten Mustern wie „Surname.GivenName“ folgen. Einige Benutzernamen können jedoch sehr lang sein oder Sonderzeichen enthalten, was dazu führen kann, dass Zeichen im API-Aufruf weggelassen werden, was zu einem Fehler führen kann. Möglicherweise möchten Sie auf dieselbe Weise versuchen, das Passwort mit einem Testbenutzer zurückzusetzen, um zu überprüfen, ob dies der Fall ist.

Wenn das Problem weiterhin besteht, wenden Sie sich an das AWSSupport Center.

Mein Benutzer wird in einem Berechtigungssatz referenziert, kann aber nicht auf die zugewiesenen Konten oder Anwendungen zugreifen

Dieses Problem kann auftreten, wenn Sie das System for Cross-Domain Identity Management (SCIM) für die automatische Bereitstellung mit einem externen Identitätsanbieter verwenden. Insbesondere wenn ein Benutzer oder die Gruppe, der der Benutzer angehörte, gelöscht und dann mit demselben Benutzernamen (für Benutzer) oder Namen (für Gruppen) im Identitätsanbieter neu erstellt wird, wird eine neue eindeutige interne Kennung für den neuen Benutzer oder die neue Gruppe in IAM Identity Center erstellt. IAM Identity Center hat jedoch immer noch einen Verweis auf die alte ID in seiner Berechtigungsdatenbank, sodass der Name des Benutzers oder der Gruppe immer noch in der Benutzeroberfläche angezeigt wird, der Zugriff jedoch fehlschlägt. Das liegt daran, dass die zugrunde liegende Benutzer- oder Gruppen-ID, auf die sich die Benutzeroberfläche bezieht, nicht mehr existiert.

Um den AWS-Konto Zugriff in diesem Fall wiederherzustellen, können Sie den Zugriff für den alten Benutzer oder die alte Gruppe aus AWS-Konto denjenigen entfernen, denen er ursprünglich zugewiesen wurde, und dann den Zugriff wieder dem Benutzer oder der Gruppe zuweisen. Dadurch wird der Berechtigungssatz mit der richtigen ID für den neuen Benutzer oder die neue Gruppe aktualisiert. Um den Anwendungszugriff wiederherzustellen, können Sie auf ähnliche Weise den Zugriff für den Benutzer oder die Gruppe aus der Liste der zugewiesenen Benutzer für diese Anwendung entfernen und den Benutzer oder die Gruppe dann wieder hinzufügen.

Sie können auch überprüfen, ob der Fehler AWS CloudTrail aufgezeichnet wurde, indem Sie Ihre CloudTrail Protokolle nach SCIM-Synchronisierungsereignissen durchsuchen, die auf den Namen des betreffenden Benutzers oder der betreffenden Gruppe verweisen.

Ich kann meine Anwendung nicht korrekt aus dem Anwendungskatalog konfigurieren

Wenn Sie eine Anwendung aus dem Anwendungskatalog in IAM Identity Center hinzugefügt haben, beachten Sie, dass jeder Dienstanbieter seine eigene ausführliche Dokumentation bereitstellt. Sie können auf diese Informationen über die Registerkarte Konfiguration für die Anwendung in der IAM Identity Center-Konsole zugreifen.

Wenn das Problem mit der Einrichtung der Vertrauensstellung zwischen der Anwendung des Dienstanbieters und IAM Identity Center zusammenhängt, sollten Sie die Anweisungen zur Fehlerbehebung in der Bedienungsanleitung nachlesen.

Fehler „Ein unerwarteter Fehler ist aufgetreten“, wenn ein Benutzer versucht, sich mit einem externen Identitätsanbieter anzumelden

Dieser Fehler kann aus mehreren Gründen auftreten, ein häufiger Grund ist jedoch eine Nichtübereinstimmung zwischen den in der SAML-Anfrage enthaltenen Benutzerinformationen und den Informationen für den Benutzer in IAM Identity Center.

Damit sich ein IAM Identity Center-Benutzer erfolgreich anmelden kann, wenn er einen externen IdP als Identitätsquelle verwendet, muss Folgendes zutreffen:

• Das SAML-NameID-Format (bei Ihrem Identitätsanbieter konfiguriert) muss „E-Mail“ lauten

• Der NameID-Wert muss eine ordnungsgemäß (RFC2822) formatierte Zeichenfolge sein ([e-mail])

• Der NameID-Wert muss exakt mit dem Benutzernamen eines vorhandenen Benutzers in IAM Identity Center übereinstimmen (es spielt keine Rolle, ob die E-Mail-Adresse in IAM Identity Center übereinstimmt oder nicht — der eingehende Abgleich basiert auf dem Benutzernamen)

• Die IAM Identity Center-Implementierung des SAML 2.0-Verbunds unterstützt nur eine Assertion in der SAML-Antwort zwischen dem Identitätsanbieter und IAM Identity Center. Verschlüsselte SAML-Assertionen werden nicht unterstützt.

• Die folgenden Aussagen gelten, wenn die Option in Ihrem IAM Identity Center-Konto aktiviert Attribute für Zugriffskontrolle ist:

  • Die Anzahl der in der SAML-Anfrage zugewiesenen Attribute muss 50 oder weniger betragen.

  • Die SAML-Anfrage darf keine mehrwertigen Attribute enthalten.

  • Die SAML-Anfrage darf nicht mehrere Attribute mit demselben Namen enthalten.

  • Das Attribut darf kein strukturiertes XML als Wert enthalten.

  • Das Namensformat muss ein in SAML spezifiziertes Format sein, kein generisches Format.

Anmerkung

IAM Identity Center führt keine Just-in-Time-Erstellung von Benutzern oder Gruppen für neue Benutzer oder Gruppen über einen SAML-Verbund durch. Das bedeutet, dass der Benutzer entweder manuell oder über automatische Bereitstellung vorab in IAM Identity Center erstellt werden muss, um sich bei IAM Identity Center anmelden zu können.

Dieser Fehler kann auch auftreten, wenn der in Ihrem Identitätsanbieter konfigurierte Assertion Consumer Service (ACS) -Endpunkt nicht mit der von Ihrer IAM Identity Center-Instanz bereitgestellten ACS-URL übereinstimmt. Stellen Sie sicher, dass diese beiden Werte exakt übereinstimmen.

Darüber hinaus können Sie Anmeldefehler bei externen Identitätsanbietern weiter beheben, indem Sie zum Ereignisnamen ExternalIdP DirectoryLogin wechseln AWS CloudTrail und nach diesem filtern.

Fehler „Die Attribute für die Zugriffskontrolle konnten nicht aktiviert werden“

Dieser Fehler kann auftreten, wenn der Benutzer, der ABAC aktiviert, nicht über die für die Aktivierung iam:UpdateAssumeRolePolicy erforderlichen Berechtigungen verfügt. Attribute für Zugriffskontrolle

Ich erhalte die Meldung „Browser wird nicht unterstützt“, wenn ich versuche, ein Gerät für MFA zu registrieren

WebAuthn wird derzeit in den Webbrowsern Google Chrome, Mozilla Firefox, Microsoft Edge und Apple Safari sowie in Windows 10- und Android-Plattformen unterstützt. Einige Komponenten der WebAuthn Unterstützung können unterschiedlich sein, z. B. die Unterstützung von Plattformauthentifikatoren in macOS- und iOS-Browsern. Wenn Benutzer versuchen, WebAuthn Geräte in einem Browser oder einer Plattform zu registrieren, die nicht unterstützt werden, werden bestimmte Optionen ausgegraut angezeigt, die nicht unterstützt werden, oder sie erhalten eine Fehlermeldung, dass nicht alle unterstützten Methoden unterstützt werden. In diesen Fällen finden Sie weitere Informationen zur Browser-/Plattformunterstützung unter FIDO2: Web Authentication (WebAuthn). Weitere Informationen zu WebAuthn in IAM Identity Center finden Sie unter. FIDO2-Authentifikatoren

Die Active Directory-Gruppe „Domänenbenutzer“ wird nicht ordnungsgemäß mit dem IAM Identity Center synchronisiert

Die Gruppe der Active Directory-Domänenbenutzer ist die standardmäßige „primäre Gruppe“ für AD-Benutzerobjekte. Primäre Active Directory-Gruppen und ihre Mitgliedschaften können vom IAM Identity Center nicht gelesen werden. Verwenden Sie bei der Zuweisung von Zugriff auf IAM Identity Center-Ressourcen oder -Anwendungen andere Gruppen als die Gruppe Domänenbenutzer (oder andere Gruppen, die als primäre Gruppen zugewiesen wurden), damit die Gruppenmitgliedschaft im IAM Identity Center-Identitätsspeicher korrekt wiedergegeben wird.

Fehler mit ungültigen MFA-Anmeldeinformationen

Dieser Fehler kann auftreten, wenn ein Benutzer versucht, sich mit einem Konto eines externen Identitätsanbieters (z. B. Okta oderMicrosoft Entra ID) bei IAM Identity Center anzumelden, bevor sein Konto mithilfe des SCIM-Protokolls vollständig für IAM Identity Center bereitgestellt wurde. Nachdem das Benutzerkonto für IAM Identity Center bereitgestellt wurde, sollte dieses Problem behoben sein. Vergewissern Sie sich, dass das Konto für IAM Identity Center bereitgestellt wurde. Falls nicht, überprüfen Sie die Bereitstellungsprotokolle des externen Identitätsanbieters.

Ich erhalte die Meldung „Ein unerwarteter Fehler ist aufgetreten“, wenn ich versuche, mich mit einer Authenticator-App zu registrieren oder anzumelden

Zeitbasierte Einmalkennwortsysteme (TOTP), wie sie beispielsweise von IAM Identity Center in Kombination mit codebasierten Authentifikator-Apps verwendet werden, basieren auf der Zeitsynchronisierung zwischen dem Client und dem Server. Stellen Sie sicher, dass das Gerät, auf dem Ihre Authenticator-App installiert ist, korrekt mit einer zuverlässigen Zeitquelle synchronisiert ist, oder stellen Sie die Uhrzeit auf Ihrem Gerät manuell so ein, dass sie mit einer zuverlässigen Quelle wie NIST (https://www.time.gov/) oder anderen lokalen/regionalen Entsprechungen übereinstimmt.

Meine Benutzer erhalten keine E-Mails von IAM Identity Center

Alle vom IAM Identity Center-Dienst gesendeten E-Mails stammen entweder von der Adresse [e-mail] oder. [e-mail] Ihr E-Mail-System muss so konfiguriert sein, dass es E-Mails von diesen Absender-E-Mail-Adressen akzeptiert und sie nicht als Junk oder Spam behandelt.

Fehler: Sie können die im Verwaltungskonto bereitgestellten Berechtigungssätze nicht löschen/ändern/entfernen/ihnen keinen Zugriff zuweisen

Diese Meldung weist darauf hin, dass die Delegierte Verwaltung Funktion aktiviert wurde und dass der Vorgang, den Sie zuvor versucht haben, nur von jemandem erfolgreich ausgeführt werden kann, der über Verwaltungskontoberechtigungen für verfügt. AWS Organizations Um dieses Problem zu beheben, melden Sie sich als Benutzer mit diesen Rechten an und versuchen Sie erneut, die Aufgabe auszuführen, oder weisen Sie diese Aufgabe einer Person zu, die über die entsprechenden Berechtigungen verfügt. Weitere Informationen finden Sie unter Registrieren Sie ein Mitgliedskonto.