aws-expert-online-for-jaws-ug-38-aws-iam-identity-center-login_troubleshooting

AWS Expert Online for JAWS-UG #38 「AWS IAM Identity Center 運用あるある - アクセスポータルへサインインできない！の調べ方」の資料です

Transcript

1. © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. IAM Identity Center 運用あるある AWS IAM Identity Center 運用あるある — アクセスポータルへサインインできない！の調べ方 西田 直弘 Cloud Support Engineer 1
2. © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. 2 自己紹介 西田 直弘 アマゾン ウェブ サービス ジャパン合同会社 技術支援本部 クラウドサポートエンジニア 好きな AWS サービス AWS IAM Identity Center
3. © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. このようなサインインのエラー画面見たことありますか？ 原因はなんでしょうか？ A. ユーザーが存在しない B. パスワード間違い C. 無効化されたユーザー 3
4. © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. 正解は「全部」です A ユーザーが存在しない B パスワード間違い C 無効化されたユーザー 3 つとも、表示されるエラー画面はまったく同じ 4
5. © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. 同じエラー画面でも、原因はいろいろ Case A ユーザーが存在しない Case B パスワード間違い Case C 無効化されたユーザー 画面だけでは原因を切り分けられない。 5
6. © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. 前提 — ID ソースは 3 つ Identity Center directory ユーザーをどこで作る コンソールで 手動作成 パスワードは誰が持つ IAM Identity Center Active Directory （AD 同期） ユーザーをどこで作る AD 側で作成 → 自動同期 パスワードは誰が持つ Active Directory 外部 IdP (Identity Provider) Okta / Entra ID 等 ユーザーをどこで作る IdP で作成 → SCIM 同期 / 手動 パスワードは誰が持つ Identity Provider どの ID ソースでも、 IAM Identity Center 側にユーザーが存在しないとサインインできない IAM Identity Center はユーザーやグループをどこで管理するかID ソースとして定義する 6
7. © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. サインインできない原因は大きく 2 パターン パターン 1 ユーザーが作成されていない 手動で作成 → 作成漏れ 自動同期でプロビジョニング → AD 同期 / SCIM のどこかで停止 パターン 2 ユーザーはいるが、認証に失敗 Identity Center / AD → パスワード間違い 外部 IdP → SAML の検証に失敗 7
8. © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. サインインできない原因は大きく 2 パターン パターン 1 ユーザーが作成されていない 手動で作成 → 作成漏れ 自動同期でプロビジョニング → AD 同期 / SCIM のどこかで停止 パターン 2 ユーザーはいるが、認証に失敗 Identity Center / AD → パスワード間違い 外部 IdP → SAML の検証に失敗 8
9. © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. 私ならこう調べる 1 サインインが完了したか → AWS CloudTrail の UserAuthentication（成功時のみ出る） 2 ユーザーは存在するか → 確認手段は ID ソースで変わる 3 なぜそうなったか → いない理由 / 認証失敗の理由を深掘り 9
10. © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. ① サインインが完了したか（UserAuthentication） ① UserAuthentication が出ているか？ CloudTrail の UserAuthentication（全 ID ソース共通・成功時のみ記録） で確認 出ていない ＝ サインイン未完了 これが今日の調査対象 → ② ユーザーの存在を確認（次へ） 出ている（成功）= 通常この画面に来ない ・別ユーザーの事象の可能性を疑う ・ブラウザ / ネットワークを疑う ・上記に問題がないのに、画面が表示されない場合は AWS サポートへ 10
11. © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. ② ユーザーは存在するか ② ユーザーは存在する？ サインイン方式で見分ける方法が異なる パスワード認証 CredentialVerification の type で判別 • type=Unknown → ユーザーがいない • type=IdentityCenterUser → ユーザーがいる SAML 認証 CredentialVerification は出ない • 存在確認 : コンソール / CLI で直接 Identity Center directory / AD 外部 IdP いない場合 → スライド 13 いる場合 → スライド 14 11
12. © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. ② ユーザーは存在するか ② ユーザーは存在する？ サインイン方式で見分ける方法が異なる パスワード認証 CredentialVerification の type で判別 • type=Unknown → ユーザーがいない • type=IdentityCenterUser → ユーザーがいる SAML 認証 CredentialVerification は出ない • 存在確認 : コンソール / CLI で直接 Identity Center directory / AD 外部 IdP いない場合 → スライド 13 いる場合 → スライド 14 12
13. © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. ③ なぜそうなったか — ユーザーがいない場合 手動作成 Identity Center directory または 外部 IdP の手動運用 コンソールや CLI 等で 詳細情報を確認 • ユーザー名に空白等不要な文字が含 まれていないか調査 自動同期 (AD 同期) 設定可能な AD 同期 ユーザー作成イベント （CreateUser） を確認 • エラーメッセージから原因を調査 • 対象のイベントがなければ同期が停止 されていないか調査 • 原因が不明な場合、AD 同期ログを有 効化して調査 自動同期 (外部 IdP) Okta / Entra など SCIM 連携 ユーザー作成イベント （CreateUser） を確認 • エラーメッセージから原因を調査 • 対象のイベントがない場合、IdP 側の SCIM ログを調査 ( AWS 側にリクエストが届いていないため） 13 ID ソースや ユーザーの作成方法（手動 / 自動）により、調査方法が異なる
14. © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. ③ なぜそうなったか — ユーザーがいない場合 手動作成 Identity Center directory または 外部 IdP の手動運用 コンソールや CLI 等で 詳細情報を確認 • ユーザー名に空白等不要な文字が含 まれていないか調査 自動同期 (AD 同期) 設定可能な AD 同期 ユーザー作成イベント （CreateUser） を確認 • エラーメッセージから原因を調査 • 対象のイベントがなければ同期が停止 されていないか調査 • 原因が不明な場合、AD 同期ログを有 効化して調査 自動同期 (外部 IdP) Okta / Entra など SCIM 連携 ユーザー作成イベント （CreateUser） を確認 • エラーメッセージから原因を調査 • 対象のイベントがない場合、IdP 側の SCIM ログを調査 ( AWS 側にリクエストが届いていないため） 14 ID ソースや ユーザーの作成方法（手動 / 自動）により、調査方法が異なる
15. © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. ③ なぜそうなったか — ユーザーがいない場合 手動作成 Identity Center directory または 外部 IdP の手動運用 コンソールや CLI 等で 詳細情報を確認 • ユーザー名に空白等不要な文字が含 まれていないか調査 自動同期 (AD 同期) 設定可能な AD 同期 ユーザー作成イベント （CreateUser） を確認 • エラーメッセージから原因を調査 • 対象のイベントがなければ同期が停止 されていないか調査 • 原因が不明な場合、AD 同期ログを有 効化して調査 自動同期 (外部 IdP) Okta / Entra など SCIM 連携 ユーザー作成イベント （CreateUser） を確認 • エラーメッセージから原因を調査 • 対象のイベントがない場合、IdP 側の SCIM ログを調査 ( AWS 側にリクエストが届いていないため） 15 ID ソースや ユーザーの作成方法（手動 / 自動）により、調査方法が異なる
16. © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. ③ なぜそうなったか — ユーザーがいる場合 パスワード認証 Identity Center directory / AD 「 CredentialVerification 」イベント • 本イベントの結果 が 「Failure」 かどうかで パスワード認証に失敗したかを特定 AD の場合は以下も調査 • AD 側でユーザーが無効化 • AD 側でアカウントがロック SAML 認証 「 ExternalIdPDirectoryLogin 」イベント • SAML 認証のエラーの原因が本イベントに出力 HAR ファイルで SAML リクエスト/ レスポンス を確認 例： • NameID Format ≠ メールアドレス （メールアドレス形式のみ許可） • ACS が事前に設定したものと異なる 外部 IdP 16
17. © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. ③ なぜそうなったか — ユーザーがいる場合 パスワード認証 Identity Center directory / AD 「 CredentialVerification 」イベント • 本イベントの結果 が 「Failure」 かどうかで パスワード認証に失敗したかを特定 AD の場合は以下も調査 • AD 側でユーザーが無効化 • AD 側でアカウントがロック SAML 認証 「 ExternalIdPDirectoryLogin 」イベント • SAML 認証のエラーの原因が本イベントに出力 HAR ファイルで SAML リクエスト/ レスポンス を確認 例： • NameID Format ≠ メールアドレス （メールアドレス形式のみ許可） • ACS が事前に設定したものと異なる 外部 IdP 17
18. © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. まとめ — この流れで調査する サインイン成否 UserAuthentication ユーザー存在 CloudTrailイベント や コンソールで確認 根本原因 いない理由 / 認証失敗 調査の前に知っておくと役立つこと 1. 自社の ID ソースを把握 Identity Center directory / AD 同期 / 外部 IdP のどれを使っているか。これだけでトラブル時に 『どこを見るか』が決まる。 2. 平時の CloudTrail を眺める UserAuthentication や CredentialVerification がどんな値を持つか、事前に知っておくと本番で 慌てない。 18
19. © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. 参考 原因早見表 ID ソース ユーザー 考えられる原因 見る場所・調べ方 Identity Center directory いない 作成漏れ コンソールや AWS CLI 等で作成 いる パスワード間違い CredentialVerification=Failure Active Directory （AD 同期） いない AD 同期での作成失敗 CreateUser を確認 → 不明なら AD 同期ログ いる パスワード間違い / AD 側 で無効化・ロック CredentialVerification=Failure / AD 側のユーザ ー状態 外部 IdP いない SCIM 同期失敗 / 手動作成 漏れ CreateUser → 無ければ IdP 側 SCIM ログ / コン ソール作成 いる SAML 検証失敗 ExternalIdPDirectoryLogin → HAR で SAML 確認 19
20. © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. 参考リンク IAM Identity Center トラブルシューティング docs.aws.amazon.com/ja_jp/singlesignon/latest/userguide/troubleshooting.html CloudTrail サインインイベントの理解 docs.aws.amazon.com/ja_jp/singlesignon/latest/userguide/understanding-sign-in-events.html SCIM の CloudTrail ログ docs.aws.amazon.com/ja_jp/singlesignon/latest/userguide/scim-logging-using-cloudtrail.html AD 同期エラーのログ記録 docs.aws.amazon.com/ja_jp/singlesignon/latest/userguide/logging-ad-sync-errors.html SAML レスポンス表示 (IAM 公式) docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/troubleshoot_saml_view-saml-response.html お困りの際には、お気軽にAWSサポートまでお問い合わせください ご清聴ありがとうございました。 20