IAM アイデンティティセンター の SCIM プロビジョニングで発生する、「新しい重複リソースの作成が拒否されました」というエラーをトラブルシューティングする方法を教えてください。

簡単な説明

このエラーは、ユーザー名、メールアドレス、または外部 ID 属性が一意の値ではないために発生します。このエラーは、表示名または外部 ID がグループにおいて一意の値でない場合にも発生する場合があります。詳細については、「自動プロビジョニングを使用する際の考慮事項」を参照してください。

解決策

このエラーを解決するには、ID ストアの ID を使用して重複する属性を検索します。次に、次の手順を実行して、ユーザーまたはグループを再プロビジョニングするか、ユーザーまたはグループを削除して新しいユーザーまたはグループを作成します。

注: AWS コマンドラインインターフェイス (AWS CLI) コマンドの実行中にエラーが発生した場合は、「AWS CLI エラーのトラブルシューティング」を参照してください。また、AWS CLI の最新バージョンを使用していることを確認してください。

次の AWS CLI コマンドでは、次の値を置き換えます。

• YOUR-REGION はお使いの AWS リージョンに置き換えます。
• YOUR-IDENTITY_STORE_ID は実際の ID ストアの ID に置き換えます。
• YOUR-USER-NAME は実際のユーザー名に置き換えます。
• YOUR-EMAIL-ADDRESS はお使いのメールアドレスに置き換えます。
• YOUR-EXTERNAL-ID は実際の外部 ID に置き換えます。
• YOUR-TENANT_ID は実際のテナント ID に置き換えます。
• YOUR-GROUP-NAME は実際のグループ名に置き換えます。

ID ストアの ID を取得する

list-instances コマンドを実行します。

aws sso-admin list-instances --region "YOUR-REGION"

出力例

{
    "Instances": [
        {
            "CreatedDate": "...",
            "IdentityStoreId": "IDENTITY-STORE-ID",
            "InstanceArn": "...",
            "OwnerAccountId": "...",
            "Status": "ACTIVE"
        }
    ]
}

後のステップで使用する ID ストアの ID 値を書き留めておきます。

テナント ID を取得する

次の手順を実行します。

1. IAM Identity Center コンソールを開きます。
2. ナビゲーションペインで [設定] を選択します。
3. [ID ソース] で、[アクション] ドロップダウンリストを選択します。
4. [プロビジョニングを管理] を選択します。
5. [設定] から、SCIM エンドポイント URL をコピーします。

SCIM エンドポイント URL の形式は、https://scim.YOUR-REGION.amazonaws.com/YOUR-TENANT-ID/scim/v2/ です。

ユーザープロビジョニングのトラブルシューティング

既存のユーザーをユーザー名、メールアドレス、または外部 ID で検索するには、get-user-id コマンドを実行します。

ユーザー名で検索する

次のコマンドを実行します。

aws identitystore get-user-id --identity-store-id "YOUR-IDENTITY_STORE_ID" --alternate-identifier '{"UniqueAttribute" : {"AttributePath": "userName","AttributeValue": "YOUR-USER-NAME"}}' --region "YOUR-REGION"

メールアドレスで検索する

次のコマンドを実行します。

aws identitystore get-user-id --identity-store-id "YOUR-IDENTITY-STORE-ID" --alternate-identifier '{"UniqueAttribute": {"AttributePath":"emails.value", "AttributeValue": "YOUR-EMAIL-ADDRESS"} }' --region "YOUR-REGION"

外部 ID で検索する

次のコマンドを実行します。

aws identitystore get-user-id --identity-store-id "YOUR-IDENTITY-STORE-ID" --alternate-identifier '{"ExternalId" : {"Issuer": "https://scim.aws.com/YOUR-TENANT-ID", "Id": "YOUR-EXTERNAL-ID"}}' --region "YOUR-REGION"

同じ一意の属性を持つユーザ ID と ID ストア ID の出力例:

{
    "UserId": "YOUR-USER-ID",
    "IdentityStoreId": "YOUR-IDENTITY-STORE-ID"
}

ユーザ ID または ID ストア ID が見つからない場合は、次のようなエラーが表示されます。

「GetUserId 操作の呼び出しでエラーが発生しました (ResourceNotFoundException): ユーザーが見つかりません。」

ユーザーを再プロビジョニングする

重複する属性を特定したら、別の属性を使用してユーザーを再プロビジョニングするか、そのユーザーを削除して新しい属性を作成します。

重要 プロビジョニングのサポートについては、お使いの ID プロバイダー (IdP) にお問い合わせください。

AWS マネジメントコンソールを使用してユーザーを削除するには、「IAM Identity Center でユーザーを削除する」を参照してください。

DeleteUser API アクションを使用してユーザーを削除するには、delete-user コマンドを実行します。

aws identitystore delete-user --identity-store-id "YOUR-IDENTITY-STORE-ID" --user-id "YOUR-USER-ID" --region "YOUR-REGION"

注: ユーザーを削除すると、操作を元に戻すことはできず、新しいユーザーに対する割り当てを再作成する必要があります。

グループプロビジョニングのトラブルシューティング

表示名または外部 ID で既存のグループを検索するには、get-group-id コマンドを実行します。

表示名で検索する

次のコマンドを実行します。

aws identitystore get-group-id --identity-store-id "IDENTITY-STORE-ID>" --alternate-identifier '{"UniqueAttribute" : {"AttributePath": "displayName","AttributeValue": "YOUR-GROUP-NAME"}}' --region "YOUR-REGION"

外部 ID で検索する

次のコマンドを実行します。

 aws identitystore get-group-id --identity-store-id "IDENTITY-STORE-ID" --alternate-identifier '{"ExternalId" : {"Issuer": "https://scim.aws.com/YOUR-TENANT-ID", "Id": "YOUR-EXTERNAL-ID"}}' --region "YOUR-REGION"

同じ一意の属性を持つグループ ID と ID ストア ID の出力例を次に示します。

{
    "GroupId": "GROUP-ID",
    "IdentityStoreId": "IDENTITY-STORE-ID"
}

表示名または外部 ID が見つからない場合は、次のようなエラーが表示されます。

「GetGroupId 操作の呼び出しでエラーが発生しました (ResourceNotFoundException): グループが見つかりません。」

グループを再プロビジョニングする

重複する属性を特定したら、別の属性を使用してグループを再プロビジョニングするか、そのグループを削除して新しい属性を作成します。

重要 プロビジョニングのサポートについては、お使いの ID プロバイダー (IdP) にお問い合わせください。

AWS マネジメントコンソールを使用してグループを削除するには、「IAM アイデンティティセンターでグループを削除する」を参照してください。

DeleteGroup API アクションを使用してグループを削除するには、delete-user コマンドを実行します。

aws identitystore delete-group --identity-store-id "YOUR-IDENTITY-STORE-ID" --group-id "YOUR-GROUP-ID" --region "YOUR-REGION"

注: グループを削除すると、操作を元に戻すことはできず、新しいグループに対する割り当てを再作成する必要があります。

関連情報

AWS IAM アイデンティティセンターでユーザーを作成して管理する方法

AWS IAM アイデンティティセンターの問題のトラブルシューティング