Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Résolution des problèmes liés à la fédération SAML avec IAM

Utilisez ces informations pour identifier et résoudre les problèmes courants que vous pouvez rencontrer lors de l'utilisation de SAML 2.0 et de la fédération avec Gestion des identités et des accès AWS.

Error: Your request included an invalid SAML response. To logout, click here.

Cette erreur peut se produire lorsque la réponse SAML du fournisseur d'identité n'inclut pas d'attribut avec le Name défini sur https://aws.amazon.com/SAML/Attributes/Role. L'attribut doit contenir un ou plusieurs éléments AttributeValue, chacun contenant une paire de chaînes séparées par une virgule :

L’erreur peut également se produire lorsque les valeurs d’attribut SAML envoyées par le fournisseur d’identité comportent un espace au début ou à la fin, ou d’autres caractères non valides dans les valeurs d’attribut SAML. Pour plus d’informations sur les valeurs attendues pour les attributs SAML, consultez Configuration d’assertions SAML pour la réponse d’authentification

Pour de plus amples informations, veuillez consulter Configuration d’assertions SAML pour la réponse d’authentification. Pour afficher la réponse SAML dans votre navigateur, suivez les étapes répertoriées dans la section Affichage d’une réponse SAML dans votre navigateur.

Erreur : RoleSessionName est obligatoire dans AuthnResponse (service : AWSSecurityTokenService ; code d'état : 400 ; code d'erreur : InvalidIdentityToken)

Cette erreur peut se produire lorsque la réponse SAML du fournisseur d'identité n'inclut pas d'attribut avec le Name défini sur https://aws.amazon.com/SAML/Attributes/RoleSessionName. La valeur de l'attribut est un identifiant pour l'utilisateur, généralement un ID utilisateur ou une adresse e-mail.

Pour plus d’informations, veuillez consulter Configuration d’assertions SAML pour la réponse d’authentification. Pour afficher la réponse SAML dans votre navigateur, suivez les étapes répertoriées dans la section Affichage d’une réponse SAML dans votre navigateur.

Erreur : Non autorisé à exécuter sts : AssumeRoleWithSAML (service : AWSSecurityTokenService ; code d'état : 403 ; code d'erreur : AccessDenied)

Cette erreur peut se produire si le rôle IAM spécifié dans la réponse SAML est mal orthographié ou n'existe pas. Assurez-vous d'utiliser le nom exact de votre rôle, car les noms de rôle sont sensibles à la casse. Corrigez le nom du rôle dans la configuration du fournisseur de service SAML.

Vous n'êtes autorisé à accéder que si votre politique d'approbation de rôle inclut l'action sts:AssumeRoleWithSAML. Si votre assertion SAML est configurée pour utiliser l'attribut PrincipalTag, votre politique d'approbation doit également inclure l'action sts:TagSession. Pour de plus amples informations sur les balises de session, veuillez consulter Transmettre les balises de session AWS STS.

Cette erreur peut se produire si vous n'avez pas d'autorisations sts:SetSourceIdentity dans votre politique de confiance de rôle. Si votre assertion SAML est configurée pour utiliser l'attribut SourceIdentity, votre politique d'approbation doit également inclure l'action sts:SetSourceIdentity. Pour de plus amples informations sur l'identité source, veuillez consulter Surveiller et contrôler les actions prises avec les rôles endossés.

Cette erreur peut également se produire si un principal fédéré n’est pas autorisé à endosser le rôle. Le rôle doit disposer d'une politique d'approbation qui spécifie l'ARN du fournisseur d'identité SAML IAM en tant que principal (Principal). Le rôle contient également des conditions qui contrôlent les utilisateurs qui peuvent endosser le rôle. Vérifiez que les utilisateurs satisfont les exigences des conditions.

Cette erreur peut également se produire si la réponse SAML n'inclut pas de Subject contenant un NameID.

Pour plus d’informations, consultez Permettre aux principaux fédérés SAML 2.0 d'accéder au Console de gestion AWS et Configuration d’assertions SAML pour la réponse d’authentification. Pour afficher la réponse SAML dans votre navigateur, suivez les étapes répertoriées dans la section Affichage d’une réponse SAML dans votre navigateur.

Erreur : RoleSessionName le champ AuthnResponse doit correspondre à [a-z A-Z _0-9+=, .@-] {2,64} (service : AWSSecurityTokenService ; code d'état : 400 ; code d'erreur :) InvalidIdentityToken

Cette erreur peut se produire si la valeur d'attribut RoleSessionName est trop longue ou contient des caractères non valides. La longueur valide maximale est de 64 caractères.

Pour plus d’informations, veuillez consulter Configuration d’assertions SAML pour la réponse d’authentification. Pour afficher la réponse SAML dans votre navigateur, suivez les étapes répertoriées dans la section Affichage d’une réponse SAML dans votre navigateur.

Erreur : l'identité de la source doit correspondre à [a-z A-Z _0-9+=, .@-] {2,64} et ne pas commencer par « aws : » (service : ; code d'état : 400 AWSSecurityTokenService ; code d'erreur :) InvalidIdentityToken

Cette erreur peut se produire si la valeur d'attribut sourceIdentity est trop longue ou contient des caractères non valides. La longueur valide maximale est de 64 caractères. Pour de plus amples informations sur l'identité source, veuillez consulter Surveiller et contrôler les actions prises avec les rôles endossés.

Pour de plus amples informations sur la création d'assertions SAML, veuillez consulter Configuration d’assertions SAML pour la réponse d’authentification. Pour afficher la réponse SAML dans votre navigateur, suivez les étapes répertoriées dans la section Affichage d’une réponse SAML dans votre navigateur.

Erreur : signature de réponse non valide (service : AWSSecurityTokenService ; code d'état : 400 ; code d'erreur : InvalidIdentityToken)

Cette erreur peut se produire lorsque les métadonnées du fournisseur d'identité ne correspondent pas aux métadonnées du fournisseur d'identité IAM. Par exemple, le fichier de métadonnées du fournisseur de service d'identité peut avoir changé pour mettre à jour un certificat arrivé à expiration. Téléchargez le fichier de métadonnées SAML mis à jour depuis votre fournisseur de service d'identité. Mettez-le ensuite à jour dans l'entité du fournisseur AWS d'identité que vous définissez dans IAM à l'aide de la commande CLI aws iam update-saml-provider multiplateforme ou de l'Update-IAMSAMLProvider PowerShellapplet de commande.

Erreur : clé privée non valide.

Cette erreur peut se produire si vous ne formatez pas correctement votre fichier de clé privée. Cette erreur peut fournir des informations supplémentaires sur les raisons pour lesquelles la clé privée n’est pas valide :

Lorsque vous êtes Création d’un fournisseur d’identité SAML dans IAM dans le Console de gestion AWS, vous devez télécharger la clé privée auprès de votre fournisseur d'identité pour la fournir à IAM afin d'activer le chiffrement. La clé privée doit être un fichier .pem qui utilise AES-GCM un algorithme de AES-CBC chiffrement pour déchiffrer les assertions SAML.

Erreur : échec de la suppression de la clé privée.

Cette erreur peut se produire lorsque le chiffrement SAML est défini sur Obligatoire et que votre requête supprimerait la seule clé de déchiffrement privée pour le fournisseur SAML IAM. Pour plus d’informations sur la rotation des clés privées, consultez Gestion des clés de chiffrement SAML.

Erreur : impossible de supprimer la clé privée, car l’ID de la clé ne correspond pas à une clé privée.

Cette erreur peut se produire si la valeur keyId de la clé privée ne correspond à aucun des ID de clé des fichiers de clé privée du fournisseur d’identité.

Lorsque vous utilisez les opérations d’API update-saml-provider ou UpdateSAMLProvider pour supprimer des clés privées de chiffrement SAML, la valeur RemovePrivateKey doit être un ID de clé valide pour une clé privée attachée à votre fournisseur d’identité.

Erreur : échec de l'attribution du rôle : émetteur absent du fournisseur spécifié (service : AWSOpenIdDiscoveryService ; code d'état : 400 ; code d'erreur : AuthSamlInvalidSamlResponseException)

Cette erreur peut se produire si l'émetteur de la réponse SAML ne correspond pas à l'émetteur déclaré dans le fichier de métadonnées de fédération. Le fichier de métadonnées a été chargé AWS lorsque vous avez créé le fournisseur d'identité dans IAM.

Erreur : Impossible d'analyser les métadonnées.

Cette erreur peut se produire si vous ne formatez pas correctement votre fichier de métadonnées.

Lorsque vous créez ou gérez un fournisseur d'identité SAML dans le Console de gestion AWS, vous devez récupérer le document de métadonnées SAML auprès de votre fournisseur d'identité.

Ce fichier de métadonnées inclut le nom de l'auteur, des informations d'expiration et des clés qui peuvent être utilisées pour valider les réponses d'authentification (assertions) SAML reçues du fournisseur d'identité (IdP). Le fichier de métadonnées doit être codé dans un UTF-8 format sans marque d'ordre d'octet (BOM). Pour supprimer la nomenclature, vous pouvez encoder le fichier à l' UTF-8 aide d'un outil d'édition de texte, tel que Notepad++.

Le X.509 certificat inclus dans le document de métadonnées SAML doit utiliser une taille de clé d'au moins 1024 bits. En outre, le X.509 certificat doit également être exempt de toute extension répétée. Vous pouvez utiliser des extensions, mais elles ne peuvent apparaître qu'une seule fois dans le certificat. Si le X.509 certificat ne remplit aucune des conditions, la création de l'IdP échoue et renvoie une erreur « Impossible d'analyser les métadonnées ».

Tel que défini par le profil d'interopérabilité V2.0 des métadonnées SAML version 1.0, IAM n'évalue ni ne prend aucune mesure en cas d'expiration des X.509 certificats contenus dans les documents de métadonnées SAML. Si vous êtes préoccupé par l'expiration X.509 des certificats, nous vous recommandons de surveiller les dates d'expiration des certificats et de procéder à une rotation des certificats conformément aux politiques de gouvernance et de sécurité de votre organisation.

Erreur : impossible de mettre à jour le fournisseur d’identité. Aucune mise à jour n’est définie pour les métadonnées ou l’assertion de chiffrement.

Cette erreur peut se produire si vous utilisez les opérations de l’update-saml-provider CLI ou de l’API UpdateSAMLProvider, mais que vous ne fournissez pas de valeurs de mise à jour dans les paramètres de votre requête. Pour plus d’informations sur la mise à jour de votre fournisseur SAML IAM, consultez. Création d’un fournisseur d’identité SAML dans IAM

Erreur : impossible de définir le mode de chiffrement des assertions sur Obligatoire, car aucune clé privée n’est fournie.

Cette erreur peut se produire lorsque vous n’avez pas encore chargé de clé de déchiffrement privée et que vous tentez de définir le chiffrement SAML sur Obligatoire sans inclure de clé privée dans votre requête.

Assurez-vous qu’une clé privée est définie pour votre fournisseur SAML IAM lorsque vous utilisez une create-saml-provider CLI, une API CreateSAMLProvider, une update-saml-provider CLI ou des opérations d’API UpdateSAMLProvider pour exiger des assertions SAML chiffrées.

Erreur : impossible d’ajouter et de supprimer des clés privées dans la même requête. Définissez une valeur pour un seul des deux paramètres.

Cette erreur peut se produire si des valeurs d’ajout et de suppression de clés privées sont incluses dans la même requête.

Lorsque vous utilisez les opérations API update-saml-provider ou UpdateSAMLProvider pour effectuer la rotation des fichiers de clés privées de chiffrement SAML, vous ne pouvez qu’ajouter ou supprimer une clé privée dans votre requête. Si vous ajoutez une clé privée tout en supprimant une clé privée, l’opération échoue. Pour plus d’informations sur la rotation des clés privées, consultez Gestion des clés de chiffrement SAML.

Erreur : Le fournisseur spécifié n'existe pas.

Cette erreur peut se produire si le nom du fournisseur dans l’assertion SAML ne correspond pas au nom du fournisseur dans IAM. Pour plus d’informations sur l'affichage du nom du fournisseur, veuillez consulter Création d’un fournisseur d’identité SAML dans IAM.

Erreur : la DurationSeconds valeur demandée dépasse la valeur MaxSessionDuration définie pour ce rôle.

Cette erreur peut se produire si vous assumez un rôle depuis l'API AWS CLI or.

Lorsque vous utilisez l'interface de ligne de commande ou les opérations d'AssumeRoleWithSAMLAPI assume-role-with-saml pour assumer un rôle, vous pouvez spécifier une valeur pour le paramètre. DurationSeconds Vous pouvez spécifier une valeur comprise entre 900 secondes (15 minutes) et la durée maximale de la session définie pour le rôle. Si vous spécifiez une valeur supérieure à ce paramètre, l'opération échoue. Par exemple, si vous spécifiez une durée de session de 12 heures, mais que votre administrateur a défini la durée de session maximale à 6 heures, votre opération échoue. Pour savoir comment afficher la valeur maximale pour votre rôle, veuillez consulter Mettre à jour la durée de session maximale pour un rôle.

Erreur : la limite de deux clés privées est atteinte.

Cette erreur peut se produire si vous essayez d’ajouter une clé privée à votre fournisseur d’identité.

Vous pouvez enregistrer jusqu’à deux clés privées pour chaque fournisseur d’identité. Lorsque vous utilisez les opérations d’API update-saml-provider ou UpdateSAMLProvider pour ajouter une troisième clé privée, l’opération échoue.

Supprimez les clés privées expirées avant d’ajouter une nouvelle clé privée. Pour plus d’informations sur la rotation des clés privées, consultez Gestion des clés de chiffrement SAML.

Erreur : la réponse ne contient pas l'audience requise.

Cette erreur peut se produire s'il existe une incompatibilité entre l'URL d'audience et le fournisseur d'identité dans la configuration SAML. Assurez-vous que l'identifiant de la partie dépendante de votre fournisseur d'identité (IdP) correspond exactement à l'URL d'audience (ID d'entité) fournie dans la configuration SAML.