AEM：連合IDの切り捨てとユーザー名の不一致により、開発、QA、ステージにアクセスできない新規ユーザー
Adobe Experience Manager（AEM）では、Admin Consoleに新しいユーザーを追加し、製品プロファイルに割り当てて、シングルサインオンでログインできるようにします。 代わりに、ID プロバイダー（IdP）が切り捨てられるか、ユーザー名またはメール属性と一致しないため、そのユーザーはAEM環境にアクセスできません。 これにより、利用者は連合ログインで認証されるのを防ぎます。 この問題を解決するには、IdPとAdmin Consoleの間でID属性を調整して、ユーザーが正常にサインインできるようにします。
説明 description
環境
- Adobe Experience Manager（AEM）
- Adobe IMS/Admin Console認証を使用したAEM Managed Services
問題/症状
Admin Consoleで作成された新しいユーザーは、開発環境、QA環境およびステージ環境にアクセスできません。 ユーザーはAdmin Consoleに表示されますが、フェデレーションログインを使用してAEM環境に認証することはできません。 認証フローを分析すると、ID プロバイダーによるユーザー名属性の切り捨てにより、フェデレーション認証リクエストで送信されたユーザー名/メールと、フェデレーショントークンの検索で使用される値との間に不一致が見つかります。
症状は次のとおりです。
- ユーザーはAdmin Consoleに存在しますが、AEM環境にログインできません。
- 認証フローはAdobe IMS/フェデレーション認証に達しますが、フェデレーショントークンの解決中に失敗します。
- HAR ファイルは、完全なユーザー名（22文字）がID プロバイダーに送信されることを示していますが、応答は切り捨てられた値（20文字）を返します。
- Adobe認証サービスから次のエラーが返されます。
{"errorCode":"invalid_user",
"errorMessage":"Could not find account with username: [ truncated_username] and authSrcCode: [ authSrcCode] "}
- このユーザーのみが影響を受けます。組織内の他のユーザーは問題を経験しません。
原因：
IdPがusername属性を切り捨てたり、リマップしたり、一致しないため、AEMでのユーザー認証に対するフェデレーショントークン解決でエラーが発生します。
解決策 resolution
-
ID プロバイダー（IdP）でユーザーのID属性を確認します：
- SAMLまたはフェデレーション認証中に送信されたユーザー名またはメール属性に適用された文字制限または切り捨てについて、IdP設定を確認します。
- 属性値（
NameIDまたは電子メールなど）がAdmin ConsoleとIdP応答の間で正確に一致することを確認します。
-
必要に応じてIdP設定を更新します：
- 切り捨てが発生している場合は、IdP設定を調整して、完全なユーザー名または電子メールが切り捨てずにAdobe IMSに送信されるようにします。
- 属性マッピングや長さの制限を解決するために、IdP管理者と調整します。
-
Admin Consoleでユーザーを再同期します：
- IdP設定を修正した後、必要に応じてAdmin Consoleでユーザーを削除して再追加し、適切に同期できるようにします。
-
ユーザー認証のテスト：
- 影響を受けるAEM環境に、再度ログインを試みます。
- 認証フローが正常に完了し、ユーザーが必要な環境にアクセスできることを確認します。
recommendation-more-help
experience-cloud-kcs-help-kbarticles