¿Cómo soluciono los errores de inicio de sesión único (SSO) de IAM Identity Center?

Resolución

Los errores de inicio de sesión en IAM Identity Center pueden producirse por varios motivos. Usa las siguientes secciones para solucionar el problema.

Resolver el mensaje de error "It's not you, it is us"

Si configuras incorrectamente tu instancia del Centro de identidad de IAM o el proveedor de identidad (IdP) externo, recibirás el siguiente mensaje de error:

"It's not you, it is us"

Asegúrate de tener el certificado de IdP correcto en el IAM Identity Center y el formato NameID en el archivo de metadatos del IdP. Si también tienes credenciales de cuenta de servicio de AD Connector caducadas o problemas de sincronización horaria en el dispositivo que utilizas para iniciar sesión, se mostrará el mensaje de error "It's not you".

Para resolver este error, sigue estos pasos:

1. Abre la consola de IAM Identity Center.
2. En el panel de navegación, selecciona Settings (Configuración).
3. Selecciona la pestaña Identity source (Origen de identidad).
4. Selecciona Actions (Acciones) y, a continuación, selecciona Manage Authentication (Administrar autenticación).
5. Comprueba que el certificado de IdP de IAM Identity Center coincida con el certificado de tu IdP externo. Si los certificados no coinciden, importa el nuevo certificado de tu IdP.
6. Confirma que el formato NameID del archivo de metadatos de tu IdP esté establecido en el valor urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress.
7. Si utilizas AWS Directory Service AD Connector como origen de identidad, comprueba que las credenciales de la cuenta de servicio de AD Connector estén actualizadas y no hayan caducado. Para actualizar las credenciales, consulta Actualización de las credenciales de la cuenta de servicio de AD Connector en Consola de administración de AWS.
8. Revisa los registros de tu IdP externo para identificar errores de autenticación específicos o errores de afirmación de SAML que puedan explicar el error de inicio de sesión. Por ejemplo, Okta System Log o los registros de inicio de sesión de Microsoft Entra ID.

Nota: Para resolver los problemas de sincronización horaria, establece la fecha y la hora del dispositivo para que se actualicen automáticamente. Si las actualizaciones automáticas no están disponibles, sincroniza la hora del dispositivo con un servidor de protocolo de tiempo de red (NTP) conocido, como time.gov en el sitio web del NIST.

Resolución del mensaje de error "An unexpected error has occurred" al iniciar sesión con un IdP externo

Si inicias sesión con un IdP externo y la configuración de SAML no está configurada correctamente, es posible que se muestre el siguiente error:

"An unexpected error has occurred"

Nota: Este error también puede aparecer en otros errores de validación de SAML, como aserciones no válidas, respuestas caducadas o problemas de firma.

Para resolver este error, sigue estos pasos:

1. Abre la consola de IAM Identity Center.
2. En el panel de navegación, selecciona Users (Usuarios).
3. Elige el usuario afectado y, a continuación, confirma que el usuario tiene el estado Active.
4. Comprueba que el valor nameID de SAML enviado por tu IdP coincide exactamente con el nombre de usuario que distingue mayúsculas y minúsculas en IAM Identity Center. La coincidencia se basa en el nombre de usuario, no en la dirección de correo electrónico.
5. Confirma que la URL de ACS configurada en tu IdP externo coincide con la URL de ACS proporcionada por tu instancia de IAM Identity Center. Para buscar la URL ACS de IAM Identity Center, selecciona Settings (Configuración) y, a continuación, selecciona la pestaña Identity source (Origen de identidad).
6. Para investigar más a fondo el error, abre la consola de CloudTrail y filtra los eventos por el nombre de evento ExternalIdPDirectoryLogin.

Resolución del error "An unexpected error has occurred" al registrarte o iniciar sesión con una aplicación de autenticación

Los sistemas de contraseña temporal de un solo uso (TOTP) basados en el tiempo requieren una sincronización horaria entre el cliente y el servidor. Si te registras o inicias sesión con una aplicación de autenticación y la hora del dispositivo no está sincronizada con la del servidor, es posible que recibas el siguiente mensaje de error:

"An unexpected error has occurred"

Para resolver este error, sigue estos pasos:

1. En el dispositivo en el que instalaste la aplicación de autenticación, abre la configuración de fecha y hora.
2. Configura la fecha y la hora para que se actualicen automáticamente.
3. Si las actualizaciones automáticas no están disponibles, configura manualmente la hora para que coincida con un origen de tiempo fiable. Un origen de tiempo como time.gov en el sitio web del NIST o tu equivalente local de NTP.
4. Tras sincronizar la hora, vuelve a intentar iniciar sesión o registrarte.

Resolución de un error de credenciales de MFA no válidas

Si recibes un error de credenciales de autenticación multifactor (MFA) no válidas, significa que tienes un problema de aprovisionamiento. Asegúrate de que la cuenta de usuario del IdP externo esté completamente aprovisionada a IAM Identity Center mediante el protocolo SCIM.

Para resolver este error, sigue estos pasos:

1. Comprueba los registros de aprovisionamiento de tu IdP externo. Por ejemplo, comprueba los registros de aprovisionamiento de tu IdP externo para confirmar que la cuenta de usuario se aprovisionó correctamente en IAM Identity Center.
2. Confirma que la cuenta de usuario del IdP externo esté completamente aprovisionada en IAM Identity Center mediante el protocolo System for Cross-Domain Identity Management (SCIM).
3. Una vez completado el aprovisionamiento, solicita al usuario que vuelva a intentar iniciar sesión.

Nota: Si utilizas un IdP externo como origen de identidad, la MFA la administra el IdP externo, no el IAM Identity Center. Configura los ajustes de MFA en tu IdP externo.

Verificación de la asignación de usuarios y los conjuntos de permisos

Si puedes iniciar sesión en IAM Identity Center, pero no puedes acceder a las cuentas de AWS asignadas, significa que la asignación de usuarios o grupos al conjunto de permisos es incorrecta.

Para verificar la asignación de usuarios, sigue estos pasos:

1. Abre la consola de IAM Identity Center.
2. En el panel de navegación, selecciona AWS accounts (Cuentas de AWS).
3. Selecciona la cuenta de AWS a la que debe acceder el usuario.
4. Selecciona la pestaña Users and groups (Usuarios y grupos).
5. Confirma que el usuario o el grupo del usuario aparecen en la lista con el conjunto de permisos correcto asignado.
   Nota: Si el usuario no está asignado al grupo, selecciona Assign users or groups (Asignar usuarios o grupos) y configura el acceso a la cuenta de AWS.

Depuración de problemas de aserción de SAML

Importante: Esta resolución funciona en Windows 10 con Firefox, Chrome y Edge. Es posible que otras configuraciones de navegador y sistemas operativos no admitan este procedimiento.

Si se muestran errores de inicio de sesión que sugieren problemas de configuración de SAML, como "Invalid SAML response" o "Assertion validation failed". A continuación, puedes ver los detalles de la aserción de SAML directamente desde el portal de acceso de AWS para identificar el problema específico.

Para ver los detalles de la aserción de SAML en el portal de acceso de AWS de IAM Identity Center, sigue estos pasos:

1. Inicia sesión en tu portal de acceso a AWS.
2. Haz clic con el botón derecho en el icono de la aplicación y, a continuación, selecciona View SAML Response (Ver respuesta SAML) en el menú contextual.
3. Revisa la información de la página You are now in administrator mode (Ahora estás en modo administrador).
4. Selecciona Copy XML (Copiar XML) para guardar los detalles de la aserción y revisarlos.
5. Comprueba que la aserción contenga el formato de NameID y el valor de NameID correctos, así como una firma de certificado válida.
6. Selecciona Send to (Enviar a) para seguir enviando la aserción al proveedor de servicios.

Revisión de los registros de CloudTrail para ver si hay errores de inicio de sesión

CloudTrail registra los eventos de inicio de sesión en IAM Identity Center. Para identificar la causa raíz de los errores de inicio de sesión, revisa tus registros.

Para revisar los registros de CloudTrail, sigue estos pasos:

1. Abre la consola de CloudTrail.
2. En el panel de navegación, selecciona Event history (Historial de eventos).
   Nota: El historial de eventos solo muestra los registros de CloudTrail de los últimos 90 días.
3. En la lista desplegable Lookup attributes (Atributos de búsqueda), selecciona Event source (Origen del evento).
4. Escribe sso.amazonaws.com o signin.amazonaws.com en el campo de búsqueda.
5. Revisa los eventos con los siguientes nombres para identificar los errores:
   UserAuthentication
   ExternalIdPDirectoryLogin
   CredentialChallenge
   CredentialVerification
6. Selecciona un evento y, a continuación, revisa el campo ErrorMessage en los detalles del evento para identificar el motivo específico del error.

Información relacionada

Resolución de problemas de IAM Identity Center

Cómo conectarse a un proveedor de identidades externo

Uso de la federación de identidades SAML y SCIM con proveedores de identidad externos

Resolución de problemas Cuenta de AWS problemas de inicio de sesión