View a markdown version of this page

Solução de problemas de login corporativo para o Amazon Quick no desktop - Amazon Quick

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Solução de problemas de login corporativo para o Amazon Quick no desktop

 Aplica-se a: Enterprise Edition 
   Público-alvo: administradores de sistemas 

Use as diretrizes a seguir para resolver problemas comuns de login corporativo, independentemente do provedor de identidade que você usa.

dica

Para ajudar a diagnosticar um problema de login, você pode exportar os registros do aplicativo da tela de login. Inclua esses registros ao entrar em contato com seu administrador ou com o AWS Suporte.

nota

Se o aplicativo não conseguir acessar a página de login, concluir a autenticação ou carregar conteúdo, o problema pode estar relacionado à rede. Em ambientes restritos, confirme se os domínios necessários estão na sua lista de permissões e se as configurações de firewall e VPN não estão bloqueando as conexões. Para ver a lista de domínios necessários, consulteAcesso à rede e domínios necessários.

Erro redirect_mismatch

Verifique se o URI de redirecionamento em seu IdP é exato http://localhost:18080 e está configurado como cliente público ou plataforma nativa.

Acesso bloqueado: aplicativo não verificado (Google Workspace)

Esse erro significa que a tela de consentimento do OAuth está definida como Externa. NoGoogle Cloud Console, navegue até Google Auth Platform → Marca e defina o Tipo de usuário como Interno, o que restringe o login aos usuários da sua organização. Google Workspace

Usuário não encontrado após o login

Esse erro tem duas causas comuns:

  1. A reclamação por e-mail não está sendo devolvida no token. Para o Microsoft Entra ID, você deve adicionar a declaração email opcional ao token de ID em Configuração do token (consulte a Etapa 1). Além disso, o atributo Mail do usuário deve ser preenchido em seu perfil Entra ID. O nome principal do usuário (UPN) por si só não é suficiente.

  2. Não existe nenhum usuário correspondente no Amazon Quick. O e-mail no token deve corresponder exatamente ao e-mail de um usuário provisionado. Para contas do IAM Identity Center, verifique se o e-mail do usuário no Identity Center corresponde. A correspondência de e-mails diferencia maiúsculas de minúsculas.

Falha na validação do token

Verifique se o URL do emissor na configuração de acesso à extensão corresponde exatamente ao URL do emissor na configuração OIDC do seu IdP.

Erro de emissor inválido (Microsoft Entra ID)

Se o login falhar com “Emissor inválido: https://login.microsoftonline.com/TENANT_ID/v2.0 “, verifique se o URL do emissor na configuração de acesso à extensão inclui o sufixo do caminho. /v2.0 O endpoint Entra ID v2.0 emite tokens com uma iss declaração que inclui. /v2.0 Se o sufixo estiver ausente, exclua o acesso à extensão e recrie-o com a URL correta do emissor.

O login corporativo não está configurado para esta conta

Esse erro significa que o acesso à extensão foi criado, mas a extensão em si não. No console do Amazon Quick, no painel de navegação esquerdo, escolha Extensões (talvez seja necessário escolher Mais para encontrá-la) e crie a extensão, selecionando o acesso à extensão que você configurou anteriormente.

Falha na solicitação de informações do usuário (HTTP 504)

Esse é um tempo limite de back-end transitório. Faça login na sua conta Amazon Quick primeiro pelo navegador da web e, em seguida, tente novamente o login no desktop. Se o erro persistir, verifique a conectividade da rede com o endpoint de serviço Amazon Quick. Para ver a lista de domínios necessários, consulteAcesso à rede e domínios necessários.

Erros de consentimento ou permissão (Microsoft Entra ID)

Conceda o consentimento do administrador para as permissões de API necessárias no portal do Azure. Navegue até a página de permissões de API do registro do aplicativo e escolha Conceder consentimento de administrador para [sua organização].

A sessão expira com frequência

Verifique se seu IdP está configurado para emitir tokens de atualização. Para o Microsoft Entra ID, o offline_access escopo é obrigatório. Para o Google Workspace, inclua access_type=offline na solicitação de autorização (tratada automaticamente pelo Quick). Para Okta, o tipo de concessão do Refresh Token deve estar ativado e o offline_access escopo deve ser concedido. Para Ping Identity, o tipo de concessão do Refresh Token deve estar ativado e o offline_access escopo deve ser concedido. Para PingFederate, verifique também se o token de ID de devolução na concessão de atualização está selecionado na política do OIDC.

Aplicativo não ativado (PingOne)

Se a autenticação falhar imediatamente sem acessar a página de PingOne login, verifique se o botão de alternância do aplicativo está definido como Ativado no console de PingOne administração.

Falha na solicitação de informações do usuário (HTTP 401) (PingOne)

Os escopos necessários não estão habilitados na guia Recursos do aplicativo. Essa é uma etapa separada da guia Configuração: PingOne concede somente o openid escopo por padrão. No console de PingOne administração, abra a guia Recursos do aplicativo e adicione os offline_access escopos emailprofile, e.

Falha na validação do token com um PingOne URI JSON Web Key Set (JWKS)

Verifique se o URI do JWKS em sua configuração de acesso à extensão usa o /as/jwks caminho (por exemplo,https://auth.pingone.com/<ENV_ID>/as/jwks). Não use/.well-known/jwks.json, que pode aparecer como um espaço reservado em alguns PingOne formulários. PingOnenão usa esse caminho.

Solicitação de e-mail ausente após a atualização () PingFederate

Verifique se a email declaração está incluída no Contrato de Atributo da política do OIDC e mapeada para o atributo correto do usuário. O mapeamento deve produzir a email solicitação tanto para a autenticação inicial quanto para as concessões do token de atualização.