AEM：由于联合身份截断和用户名不匹配，新用户无法访问开发、QA和暂存
在Adobe Experience Manager (AEM)中，您在Admin Console中添加新用户，将其分配给产品配置文件，并期望他们通过单点登录进行登录。 反而，该用户无法访问AEM环境，因为身份提供程序(IdP)正在截断或以其他方式不匹配用户名或电子邮件属性。 这样可防止用户使用联合登录进行身份验证。 要解决此问题，请将IdP与Admin Console之间的身份属性保持一致，以便用户能够成功登录。
描述 description
环境
- Adobe Experience Manager (AEM)
- 使用Adobe IMS/Admin Console身份验证的AEM Managed Services
问题/症状
在Admin Console中创建的新用户无法访问开发、QA和暂存环境。 用户显示在Admin Console中，但无法使用联合登录向AEM环境进行身份验证。 对身份验证流的分析显示，联合授权请求中发送的用户名/电子邮件与联合令牌查找中使用的值不匹配，可能是由于身份提供程序截断用户名属性造成的。
症状包括：
- 用户存在于Admin Console中，但无法登录到AEM环境。
- 身份验证流程达到Adobe IMS/联合身份验证，但在联合令牌解析期间失败。
- HAR文件显示了发送给身份提供程序的完整用户名（22个字符），但响应返回截断值（20个字符）。
- Adobe身份验证服务返回以下错误：
{"errorCode":"invalid_user",
"errorMessage":"Could not find account with username: [ truncated_username] and authSrcCode: [ authSrcCode] "}
- 仅此用户受影响；组织中的其他用户不会遇到此问题。
原因
IdP截断、重新映射用户名属性或与用户名属性不匹配，导致在AEM中进行用户身份验证的联合令牌解析失败。
解决方法 resolution
-
验证身份提供程序(IdP)中用户的身份属性：
- 检查IdP配置，了解在SAML或联合身份验证期间发送的用户名或电子邮件属性所应用的任何字符限制或截断。
- 确认Admin Console与IdP响应之间的属性值（如
NameID或电子邮件）完全匹配。
-
如有必要，请更新IdP配置：
- 如果发生截断，请调整IdP设置，以确保在无截断的情况下将完整用户名/电子邮件发送到Adobe IMS。
- 与IdP管理员协调以解决任何属性映射或长度限制。
-
在Admin Console中重新同步用户：
- 更正IdP配置后，根据需要在Admin Console中删除并重新添加用户，以确保正确同步。
-
测试用户身份验证：
- 让用户尝试再次登录受影响的AEM环境。
- 确认身份验证流程成功完成，并且用户可以访问所需的环境。
recommendation-more-help
experience-cloud-kcs-help-kbarticles