IAM Identity Center 문제 해결

다음은 IAM Identity Center 콘솔을 설정하거나 사용하는 동안 발생할 수 있는 일반적인 문제를 해결하는 데 도움이 될 수 있습니다.

IAM Identity Center의 계정 인스턴스 생성 문제

IAM Identity Center의 계정 인스턴스를 생성할 때는 몇 가지 제한이 적용될 수 있습니다. IAM Identity Center 콘솔 또는 지원되는 AWS 관리형 애플리케이션의 설치 환경을 통해 계정 인스턴스를 생성할 수 없는 경우 다음 사용 사례를 확인하십시오.

• 계정 AWS 리전 인스턴스를 생성하려는 다른 계정을 확인하십시오. AWS 계정 AWS 계정당 IAM Identity Center 인스턴스는 1개로 제한됩니다. 애플리케이션을 활성화하려면 IAM Identity Center 인스턴스가 AWS 리전 있는 로 전환하거나 IAM Identity Center 인스턴스가 없는 계정으로 전환하십시오.

• 2023년 9월 14일 이전에 조직에서 IAM Identity Center를 활성화한 경우 관리자가 계정 인스턴스 생성에 동의해야 할 수 있습니다. 관리자와 협력하여 관리 계정의 IAM Identity Center 콘솔에서 계정 인스턴스 생성을 활성화합니다.

• 관리자가 IAM Identity Center의 계정 인스턴스 생성을 제한하는 서비스 제어 정책을 만들었을 수 있습니다. 관리자와 상의하여 허용 목록에 계정을 추가하세요.

IAM Identity Center에서 사용하도록 사전 구성된 클라우드 애플리케이션 목록을 보려고 하면 오류가 발생합니다.

다음 오류는 sso:ListApplications를 허용하지만 다른 IAM Identity Center API는 허용하지 않는 정책이 있을 때 발생합니다. 정책을 업데이트하여 이 오류를 해결하세요.

ListApplications 권한은 여러 API를 승인합니다.

• ListApplications API.

• IAM Identity Center 콘솔에서 사용되는 ListApplicationProviders API와 유사한 내부 API입니다.

중복 해결에 도움이 되도록 내부 API에서 이제 ListApplicationProviders 작업 사용을 승인합니다. 퍼블릭 ListApplications API를 허용하지만 내부 API를 거부하려면 정책에 ListApplicationProviders 작업을 거부하는 문을 포함해야 합니다.

      "Statement": [
    {
         "Effect": "Deny",
         "Action": "sso:ListApplicationProviders",
         "Resource": "*"
    },
    {
        "Effect": "Allow",
        "Action": "sso:ListApplications",
        "Resource": "<instanceArn>" // (or "*" for all instances)
    }
]
    

내부 API를 허용하지만 ListApplications를 거부하려면 정책에서 ListApplicationProviders만 허용해야 합니다. 명시적으로 허용되지 않는 경우 ListApplications API가 거부됩니다.

      "Statement": [
    {
         "Effect": "Allow",
         "Action": "sso:ListApplicationProviders",
         "Resource": "*"
    }
]
    

정책이 업데이트되면 연락하여 이 사전 조치를 AWS Support 제거하도록 요청하세요.

IAM Identity Center에서 생성된 SAML 어설션 콘텐츠 관련 문제

IAM Identity Center는 액세스 포털에서 SAML 애플리케이션에 액세스하거나 SAML 애플리케이션에 액세스할 때 이러한 어설션 내의 속성을 포함하여 IAM Identity Center에서 생성 및 전송한 SAML 어설션에 대한 웹 기반 디버그 환경을 제공합니다. AWS 계정 AWS IAM Identity Center에서 생성하는 SAML 어설션의 세부 정보를 보려면 다음 단계를 사용하세요.

1. 액세스 포털에 로그인합니다. AWS

2. 포털에 로그인한 후 Shift 키를 누른 상태에서 애플리케이션 타일을 선택한 다음 Shift 키를 놓습니다.

3. 이제 관리자 모드에 있습니다라는 제목의 페이지에 있는 정보를 확인합니다. 나중에 참조할 수 있도록 이 정보를 보관하려면 XML 복사를 선택하고 내용을 다른 곳에 붙여 넣습니다.

4. 계속하려면 <애플리케이션>으로 보내기를 선택합니다. 이 옵션은 서비스 제공업체에 어설션을 전송합니다.

참고

일부 브라우저 구성 및 운영 체제는 이 절차를 지원하지 않을 수 있습니다. 이 절차는 Windows 10에서 Firefox, Chrome, Edge 브라우저를 사용하여 테스트되었습니다.

특정 사용자가 외부 SCIM 공급자로부터 IAM Identity Center로 동기화하지 못함

IAM Identity Center에 프로비저닝하기 위해 IdP에 구성된 일부 사용자는 SCIM 동기화가 되지만, 다른 사용자는 동기화가 되지 않으면 ID 제공업체의 'Request is unparsable, syntactically incorrect, or violates schema'와 유사한 오류가 발생할 수 있습니다. 에서 자세한 프로비저닝 실패 메시지를 볼 수도 있습니다 AWS CloudTrail.

이 문제는 종종 IdP의 사용자가 IAM Identity Center가 지원하지 않는 방식으로 구성되어 있는 경우에 발생합니다. 사용자 객체에 대한 필수, 선택, 금지된 파라미터 및 작업 사양을 포함하여 IAM Identity Center SCIM 구현에 대한 자세한 내용은 IAM Identity Center SCIM 구현 개발자 안내서에서 확인할 수 있습니다. SCIM 개발자 안내서는 SCIM 요구 사항에 대한 신뢰할 수 있는 정보를 제공하는 자료입니다. 하지만 이러한 오류가 발생하는 몇 가지 일반적인 이유는 다음과 같습니다.

1. IdP의 사용자 객체에 이름, 성 및/또는 표시 이름이 없습니다.

   1. 해결 방법: 사용자 객체의 이름, 성, 표시 이름을 추가합니다. 또한 IdP의 사용자 객체에 대한 SCIM 프로비저닝 매핑이 이러한 모든 속성에 대해 비어 있지 않은 값을 전송하도록 구성되어 있는지 확인합니다.

2. 단일 속성에 대해 둘 이상의 값이 사용자에게 전송됩니다(“다중 값 속성”이라고도 함). 예를 들어 사용자가 IdP에 직장 전화번호와 집 전화번호를 모두 지정하거나 이메일 또는 실제 주소가 여러 개이거나 IdP가 해당 속성에 대해 여러 값 또는 모든 값을 동기화하도록 구성되어 있을 수 있습니다.

   1. 가능한 해결 방법:

      1. 지정된 속성에 대해 단일 값만 전송하도록 IdP의 사용자 객체에 대한 SCIM 프로비저닝 매핑을 업데이트합니다. 예를 들어, 각 사용자의 직장 전화번호만 전송하도록 매핑을 구성합니다.

      2. IdP의 사용자 체에서 추가 속성을 안전하게 제거할 수 있는 경우 추가 값을 제거하여 사용자의 해당 속성에 대해 설정된 값을 하나 또는 0으로 남겨 둘 수 있습니다.

      3. 의 작업에 속성이 필요하지 않은 경우 IdP의 사용자 개체에 대한 SCIM 프로비저닝 매핑에서 해당 속성에 대한 매핑을 제거하십시오. AWS

3. IdP가 여러 속성을 기반으로 대상(이 경우 IAM Identity Center)의 사용자를 매칭하려고 시도합니다. 사용자 이름은 지정된 IAM Identity Center 인스턴스 내에서 고유성이 보장되므로 매칭에 사용되는 속성으로 username만 지정하면 됩니다.

   1. 해결 방법: IIdP의 SCIM 구성이 IAM Identity Center의 사용자를 매칭하기 위해 단일 속성만 사용하고 있는지 확인합니다. 예를 들어, IAM Identity Center에 프로비저닝하기 위해 IdP의 username 또는 userPrincipalName를 SCIM의 userName 속성에 매핑하면 대부분의 구현에서 정확하고 충분합니다.

사용자 이름이 UPN 형식인 경우 사용자는 로그인할 수 없습니다.

로그인 페이지에서 사용자 이름을 입력할 때 사용하는 형식에 따라 사용자는 AWS 액세스 포털에 로그인하지 못할 수 있습니다. 대부분의 경우 사용자는 일반 사용자 이름, 하위 수준 로그온 이름 (DOMAIN\UserName) 또는 UPN 로그온 이름 () 을 사용하여 사용자 포털에 로그인할 수 있습니다. [e-mail] 단, IAM Identity Center가 MFA를 통해 활성화된 연결된 디렉터리를 사용하고 있고 검증 모드가 Context-aware 또는 Always-on으로 설정된 경우는 예외입니다. 이 시나리오에서 사용자는 하위 수준의 로그온 이름 (DOMAIN\) 으로 로그인해야 합니다. UserName 자세한 정보는 Identity Center 사용자를 위한 다중 인증을 참조하세요. Active Directory에 로그인하는 데 사용되는 사용자 이름 형식에 대한 일반적인 정보는 Microsoft 설명서 웹 사이트의 사용자 이름 형식을 참조하세요.

IAM 역할을 수정할 때 '보호된 역할에서 작업을 수행할 수 없습니다' 오류가 발생합니다.

계정의 IAM 역할을 검토할 때 역할 이름이 '_'로 시작하는 것을 볼 수 있습니다. AWSReservedSSO 이러한 역할은 IAM Identity Center 서비스가 계정에 생성한 역할로, 계정에 권한 세트를 할당하여 만들어졌습니다. IAM 콘솔 내에서 이러한 역할을 수정하려고 하면 다음 오류가 발생합니다.

'Cannot perform the operation on the protected role 'AWSReservedSSO_RoleName_Here' - this role is only modifiable by AWS'

이러한 역할은 의 관리 계정에 있는 IAM Identity Center 관리자 콘솔에서만 수정할 수 있습니다. AWS Organizations수정한 후에는 당 변경 사항이 할당된 AWS 계정으로 푸시할 수 있습니다.

디렉터리 사용자는 비밀번호를 재설정할 수 없습니다.

디렉터리 사용자가 비밀번호 분실을 사용하여 비밀번호를 재설정하는 경우? AWS 액세스 포털 로그인 시 옵션을 사용하려면 새 비밀번호가 에 설명된 기본 비밀번호 정책을 준수해야 합니다. IAM Identity Center에서 ID를 관리할 때 암호 요구 사항

사용자가 정책을 준수하는 비밀번호를 입력한 후 오류가 발생하는 We couldn't update your password 경우 오류가 AWS CloudTrail 기록되었는지 확인하십시오. 이벤트 기록 콘솔에서 검색하거나 다음 필터를 CloudTrail 사용하여 이 작업을 수행할 수 있습니다.

"UpdatePassword"

다음과 같은 메시지가 표시되면 지원팀에 문의해야 할 수 있습니다.

"errorCode": "InternalFailure",
      "errorMessage": "An unknown error occurred“

이 문제의 또 다른 가능한 원인은 사용자 이름 값에 적용된 명명 규칙일 수 있습니다. 명명 규칙은 'surname.givenName'과 같은 특정 패턴을 따라야 합니다. 하지만 일부 사용자 이름은 상당히 길거나 특수 문자를 포함할 수 있으며, 이로 인해 API 직접 호출에서 문자가 누락되어 오류가 발생할 수 있습니다. 동일한 방식으로 테스트 사용자에게 비밀번호 재설정을 시도하여 이 경우가 맞는지 확인할 수 있습니다.

문제가 지속된다면 AWS 지원 센터에 문의하세요.

내 사용자는 권한 집합에서 참조할 수 있지만 할당된 계정이나 애플리케이션에 액세스할 수 없습니다.

이 문제는 외부 ID 제공업체를 통해 자동 프로비저닝을 위해 SCIM(System for Cross-domain Identity Management)을 사용하는 경우 발생할 수 있습니다. 특히, 사용자 또는 사용자가 구성원으로 속했던 그룹을 삭제한 후 ID 공급업체에서 동일한 사용자 이름(사용자의 경우) 또는 이름(그룹)을 사용하여 다시 생성하면 IAM Identity Center에서 새 사용자 또는 그룹에 대한 새 고유 내부 식별자가 만들어집니다. 하지만 IAM Identity Center의 권한 데이터베이스에는 여전히 이전 식별자에 대한 참조가 있기 때문에 사용자 또는 그룹의 이름은 UI에 계속 표시되지만 액세스는 실패합니다. UI가 참조하는 기본 사용자 또는 그룹 ID가 더 이상 존재하지 않기 때문입니다.

이 경우 AWS 계정 액세스를 복원하려면 원래 할당된 위치에서 이전 사용자 또는 그룹의 액세스 권한을 제거한 다음 해당 사용자 또는 그룹에 다시 액세스 권한을 할당하면 됩니다. AWS 계정그러면 새 사용자 또는 그룹의 올바른 식별자로 권한 집합이 업데이트됩니다. 마찬가지로 애플리케이션 액세스를 복원하려면 해당 애플리케이션에 할당된 사용자 목록에서 사용자 또는 그룹의 액세스 권한을 제거한 다음 사용자 또는 그룹을 다시 추가하면 됩니다.

CloudTrail 로그에서 해당 사용자 또는 그룹의 이름을 참조하는 SCIM 동기화 이벤트를 검색하여 오류가 AWS CloudTrail 기록되었는지 확인할 수도 있습니다.

애플리케이션 카탈로그에서 애플리케이션을 올바르게 구성할 수 없음

IAM Identity Center의 애플리케이션 카탈로그에서 애플리케이션을 추가한 경우, 각 서비스 공급자가 자체적으로 상세한 설명서를 제공합니다. 이 정보는 IAM Identity Center 콘솔에서 해당 애플리케이션의 구성 탭에서 확인할 수 있습니다.

서비스 공급업체의 애플리케이션과 IAM Identity Center 간 신뢰 설정과 관련된 문제인 경우, 사용 설명서에서 문제 해결 단계를 참조하세요.

사용자가 외부 ID 공급업체를 통해 로그인하려고 할 때 “예기치 않은 오류가 발생했습니다” 오류가 표시됩니다.

이 오류는 여러 가지 이유로 발생할 수 있지만 일반적인 원인 중 하나는 SAML 요청에 포함된 사용자 정보와 IAM Identity Center의 사용자 정보가 일치하지 않기 때문입니다.

외부 IdP를 ID 소스로 사용할 때 IAM Identity Center 사용자가 성공적으로 로그인하려면 다음 조건을 충족해야 합니다.

• SAML nameID 형식(ID 제공업체에서 구성)은 '이메일'이어야 합니다.

• nameID 값은 올바른 (RFC2822) 형식의 문자열([e-mail])이어야 합니다.

• nameID 값은 IAM Identity Center에 있는 기존 사용자의 사용자 이름과 정확히 일치해야 합니다(IAM Identity Center의 이메일 주소가 일치하는지 여부는 중요하지 않으며, 인바운드 일치는 사용자 이름을 기반으로 함).

• SAML 2.0 페더레이션의 IAM Identity Center 구현에서는 ID 제공업체와 IAM Identity Center 간 SAML 응답에서 단 하나의 어설션만 지원합니다. 암호화된 SAML 어설션은 지원하지 않습니다.

• 다음 설명은 IAM Identity Center 계정에서 액세스 제어를 위한 속성가 활성화된 경우에 적용됩니다.

  • SAML 요청에 매핑된 속성 개수는 50개 이하여야 합니다.

  • SAML 요청에는 다중 값 속성이 포함되어서는 안 됩니다.

  • SAML 요청에는 동일한 이름의 속성이 여러 개 포함되어서는 안 됩니다.

  • 이 속성에는 구조화된 XML이 값으로 포함되어서는 안 됩니다.

  • 이름 형식은 일반 형식이 아닌 SAML 지정 형식이어야 합니다.

참고

IAM Identity Center는 SAML 페더레이션을 통해 새 사용자 또는 그룹에 대한 사용자 또는 그룹을 “적시에” 생성하지 않습니다. 즉, IAM Identity Center에 로그인하려면 수동 또는 자동 프로비저닝을 통해 IAM Identity Center에서 사용자를 미리 생성해야 합니다.

이 오류는 ID 제공업체에 구성된 Assertion Consumer Service(ACS) 엔드포인트가 IAM Identity Center 인스턴스에서 제공한 ACS URL과 일치하지 않을 때 발생할 수도 있습니다. 이 두 값이 정확히 일치하는지 확인합니다.

또한 이벤트 이름 P로 AWS CloudTrail 이동하여 필터링하여 외부 ID 제공자 로그인 실패 문제를 추가로 해결할 수 있습니다. ExternalId DirectoryLogin

'액세스 제어 속성을 활성화하지 못했습니다' 오류

이 오류는 ABAC를 활성화하는 사용자에게 액세스 제어를 위한 속성를 활성화하는 데 필요한 iam:UpdateAssumeRolePolicy 권한이 없는 경우 발생할 수 있습니다.

MFA에 디바이스를 등록하려고 할 때 '브라우저가 지원되지 않습니다' 메시지가 표시됩니다.

WebAuthn 현재 구글 크롬, 모질라 파이어폭스, 마이크로소프트 엣지, 애플 사파리 웹 브라우저, 윈도우 10 및 안드로이드 플랫폼에서 지원됩니다. macOS 및 iOS 브라우저에서의 플랫폼 인증 WebAuthn 지원 등 일부 지원 구성 요소는 다양할 수 있습니다. 사용자가 지원되지 않는 브라우저 또는 플랫폼에서 WebAuthn 장치를 등록하려고 하면 지원되지 않는 특정 옵션이 회색으로 표시되거나 지원되는 모든 방법이 지원되지 않는다는 오류 메시지가 표시됩니다. 이러한 경우 브라우저/플랫폼 지원에 대한 자세한 내용은 FIDO2: 웹 인증 (WebAuthn) 을 참조하십시오. IAM ID 센터에 대한 자세한 내용은 WebAuthn 을 참조하십시오. FIDO2 인증자

Active Directory “도메인 사용자” 그룹이 IAM Identity Center에 제대로 동기화되지 않습니다.

Active Directory 도메인 사용자 그룹은 AD 사용자 객체의 기본 "기본 그룹"입니다. IAM Identity Center에서는 Active Directory 기본 그룹과 해당 구성원 자격을 읽을 수 없습니다. IAM Identity Center 리소스 또는 애플리케이션에 대한 액세스 권한을 할당할 때는 그룹 구성원 자격이 IAM Identity Center ID 저장소에 제대로 반영되도록 도메인 사용자 그룹 이외의 그룹(또는 기본 그룹으로 할당된 다른 그룹)을 사용합니다.

잘못된 MFA 보안 인증 오류

이 오류는 사용자가 SCIM 프로토콜을 사용하여 계정이 IAM Identity Center에 완전히 프로비저닝되기 전에 외부 ID 제공업체(예: Okta 또는Microsoft Entra ID)의 계정을 사용하여 IAM Identity Center에 로그인을 시도할 때 발생할 수 있습니다. 사용자 계정을 IAM Identity Center에 프로비저닝한 후에는 이 문제를 해결해야 합니다. 계정이 IAM Identity Center에 프로비저닝되었는지 확인합니다. 그렇지 않은 경우 외부 ID 제공업체의 프로비저닝 로그를 확인합니다.

인증 앱으로 등록하거나 로그인하려고 시도하면 '예상치 못한 오류가 발생했습니다'라는 메시지가 나타납니다.

IAM Identity Center가 코드 기반 인증 앱과 함께 사용하는 것과 같은 시간 기반 일회용 암호(TOTP) 시스템은 클라이언트와 서버 간의 시간 동기화에 의존합니다. 인증 앱이 설치된 디바이스가 신뢰할 수 있는 시간 출처와 올바르게 동기화되었는지 확인하거나, NIST(https://www.time.gov/) 또는 기타 지역/리전별 등가물과 같은 신뢰할 수 있는 출처와 일치하도록 디바이스의 시간을 수동으로 설정하세요.

IAM ID 센터에 로그인하려고 하면 '당신이 아니에요, 우리예요. '라는 오류 메시지가 나타납니다.

이 오류는 IAM ID 센터의 인스턴스 또는 IAM ID 센터가 ID 소스로 사용하는 외부 ID 공급자 (IdP) 의 인스턴스에 설정 문제가 있음을 나타냅니다. 다음 사항을 확인하는 것이 좋습니다.

• 로그인하는 데 사용하는 장치의 날짜 및 시간 설정을 확인합니다. 날짜와 시간이 자동으로 설정되도록 설정하는 것이 좋습니다. 이를 사용할 수 없는 경우 알려진 네트워크 시간 프로토콜 (NTP) 서버에 날짜 및 시간을 동기화하는 것이 좋습니다.

• IAM ID 센터에 업로드한 IdP 인증서가 IdP에서 제공한 것과 동일한지 확인하십시오. 설정으로 이동하여 IAM ID 센터 콘솔에서 인증서를 확인할 수 있습니다. ID 소스 탭에서 작업을 선택한 다음 인증 관리를 선택합니다. IdP와 IAM ID 센터 인증서가 일치하지 않는 경우 새 인증서를 IAM ID 센터로 가져오십시오.

• ID 제공자의 메타데이터 파일에 있는 NameID 형식이 다음과 같은지 확인하십시오.

  • urn:oasis:name:tc:SAML:1.1:nameid-format:emailAddress

• ID AWS Directory Service 공급자로 AD Connector를 사용하는 경우 서비스 계정의 자격 증명이 정확하고 만료되지 않았는지 확인하십시오. 자세한 AWS Directory Service내용은 에서 AD Connector 서비스 계정 자격 증명 업데이트를 참조하십시오.

내 사용자가 IAM Identity Center로부터 이메일을 받지 못하고 있습니다.

IAM Identity Center 서비스에서 보내는 모든 이메일은 주소 [e-mail] 또는 [e-mail] 에서 발송됩니다. 메일 시스템은 이러한 발신자 이메일 주소에서 오는 이메일을 수락하고 정크 또는 스팸으로 처리하지 않도록 구성해야 합니다.

오류: 관리 계정에 프로비저닝된 권한 집합에 대한 액세스 권한을 삭제/수정/제거/할당할 수 없습니다.

이 메시지는 해당 위임된 관리 기능이 활성화되었으며 관리 계정 권한이 있는 사람만 이전에 시도한 작업을 성공적으로 수행할 수 있음을 나타냅니다. AWS Organizations이 문제를 해결하려면 이러한 권한이 있는 사용자로 로그인하여 작업을 다시 수행하거나 올바른 권한을 가진 사람에게 이 작업을 할당하십시오. 자세한 정보는 멤버 계정 등록을 참조하세요.

오류: 세션 토큰을 찾을 수 없거나 유효하지 않습니다.

이 오류는 웹 브라우저 AWS Toolkit AWS CLI, 또는 같은 클라이언트가 서버 측에서 취소되거나 무효화된 세션을 사용하려고 할 때 발생할 수 있습니다. 이 문제를 해결하려면 클라이언트 응용 프로그램이나 웹 사이트로 돌아가서 다시 시도하십시오. 이때 메시지가 표시되면 다시 로그인하십시오. 이로 인해 IDE AWS Toolkit 내에서 보류 중인 연결 시도와 같이 보류 중인 요청도 취소해야 할 수도 있습니다.