Como soluciono os erros que recebo quando configuro o Amazon Q Business com o IAM Identity Center?

Resolução

Observação: Se você receber erros ao executar comandos da AWS Command Line Interface (AWS CLI), consulte Solução de problemas da AWS CLI. Além disso, verifique se você está usando a versão mais recente da AWS CLI.

Os SCPs negam explicitamente a ação

As políticas de controle de serviços (SCPs) definem o máximo de permissões disponíveis para contas da AWS dentro do AWS Organizations. Se um SCP negar a ação, você poderá receber o seguinte erro:

“An error occurred during creation, but we do not know the cause.”

Para modificar um SCP, use uma conta gerencial. As contas gerenciais restringem as contas de membros, e as contas de membros não podem modificar os SCPs. Se você usa uma conta de membro, entre em contato com o administrador da conta gerencial.

Se você usa uma conta gerencial, conclua as seguintes etapas:

1. Abra o console de Organizações.
2. No painel de navegação, escolha Políticas de controle de serviços.
3. Analise a lista de SCPs para identificar se um SCP nega explicitamente permissões para ações do Amazon Q Business. Ou, para verificar eventos com permissão negada, use os logs do AWS CloudTrail.
4. Se um SCP estiver negando permissões, atualize o SCP.

Ou use a federação de identidades do AWS Identity and Access Management (AWS IAM) por meio de um provedor de identidades (IdP) externo para configurar a autenticação para o Amazon Q Business. Quando você configura o Amazon Q Business por meio de um IdP externo, as restrições de SCP não se aplicam porque os usuários se autenticam no IdP.

Para obter mais informações, consulte Criação de uma aplicação Amazon Q Business usando o federação IAM por meio do Okta.

A sincronização do SCIM cria usuários duplicados

O System for Cross-domain Identity Management (SCIM) preenche os usuários no IAM Identity Center a partir do IdP. Se você usar a sincronização SCIM para configurar o IAM Identity Center a partir de um IdP externo, como o Okta, poderá receber o seguinte erro:

“User <> is not authorized to make this request because there is already an active user for this userId.”

Se você criar manualmente um usuário antes de ativar o SCIM, uma entrada duplicada será detectada. Para resolver esse problema, exclua o usuário existente, ative o SCIM e adicione novamente o usuário.

Para verificar se o usuário existe no Amazon Q Business, execute o comando get-user da AWS CLI:

aws qbusiness get-user --application-id  example-app-id --user-id example-user-id

Observação: substitua example-app-id pelo ID da aplicação e example-user-id pelo ID de usuário. É possível encontrar o ID da sua aplicação no console Amazon Q Business em Aplicações.

Para excluir o usuário, execute o comando delete-user:

aws qbusiness delete-user --application-id example-app-id --user-id example-user-id

Observação: substitua example-app-id pelo ID da aplicação e example-user-id pelo ID de usuário.

Para confirmar que o usuário foi excluído, execute o comando get-user. Em seguida, ative a sincronização do SCIM.

Para verificar se o usuário foi adicionado ao Amazon Q Business, conclua as seguintes etapas:

1. Abra o console Amazon Q Business.
2. No painel de navegação, escolha Aplicações.
3. Selecione sua aplicação.
4. Em Gerenciar acesso do usuário, localize o usuário.

Confirme se a sincronização do SCIM está configurada corretamente para mapear usuários para o IAM Identity Center.

Faltam configurações de sessão com reconhecimento de identidade

Sessões com reconhecimento de identidade são necessárias para que o Amazon Q Business autentique usuários, chame APIs e realize operações específicas do usuário. Se as sessões com reconhecimento de identidade não estiverem ativadas na conta gerencial da sua organização, você poderá receber o seguinte erro:

“Contact your administrator in order to enable Amazon Q in the AWS Console. You must ensure identity-aware sessions are enabled in the AWS Orgs Management account.”

Para ativar sessões com reconhecimento de identidade, conclua as seguintes etapas:

1. Ative uma instância organizacional do IAM Identity Center.
   Observação: Se você usa uma configuração do IAM Identity Center entre regiões da AWS, certifique-se de que a instância da sua organização ofereça suporte a conexões entre regiões.
2. Ative sessões com reconhecimento de identidade.
3. Confirme a disponibilidade da sua Região para o Amazon Q Business.

Informações relacionadas

Centro de Identidade do AWS IAM

Instâncias de organização e conta do IAM Identity Center