Risolvere i problemi relativi alla federazione delle identità per la forza lavoro

Questa pagina mostra come risolvere i problemi comuni relativi alla federazione delle identità per la forza lavoro.

Ispezionare la risposta dell'IdP

Questa sezione mostra come esaminare la risposta del tuo provider di identità (IdP) per risolvere i problemi elencati in questo documento.

Accesso basato sul browser

Per esaminare la risposta restituita dal tuo IdP, genera un file HAR utilizzando uno strumento a tua scelta. Ad esempio, puoi utilizzare lo Strumento di analisi HAR di Google Admin Toolbox, che fornisce istruzioni per generare un file HAR e gli strumenti per caricarlo e analizzarlo.

Importante: se richiedi il file HAR ai tuoi utenti, chiedi loro di liberare spazio da eventuali informazioni che consentono l'identificazione personale (PII) e cookie dal file HAR prima di inviarlo.

SAML

Per esaminare la risposta IdP SAML:

1. Individua il valore del parametro di richiesta SAMLResponse nel file HAR registrato rispetto all'URL con percorso /signin-callback.
2. Decodificalo utilizzando uno strumento a tua scelta. Ad esempio, puoi utilizzare Encode/Decode di Strumenti amministrativi Google.

OIDC

Per esaminare la risposta del provider di identità OIDC, segui questi passaggi. Questo approccio non funziona con il flusso di codice.

1. Cerca il parametro di richiesta id_token nel file HAR registrato rispetto a un URL con il percorso /signin-callback.
2. Decodificalo utilizzando uno strumento di debug JWT a tua scelta.

gcloud CLI

Per esaminare la risposta del tuo IdP quando utilizzi gcloud CLI, copia i contenuti del file che hai passato nel flag --credential-source-file quando esegui il comando gcloud iam workforce-pools create-cred-config, poi esegui i seguenti passaggi:

SAML

Decodifica la risposta IdP SAML utilizzando uno strumento a tua scelta. Ad esempio, puoi utilizzare Encode/Decode di Strumenti amministrativi Google.

OIDC

Decodifica la risposta dell'IdP OIDC utilizzando uno strumento di debug JWT a tua scelta.

Esamina i log

Per determinare se Google Cloud comunica con il tuo IdP e per esaminare le informazioni sulle transazioni, puoi esaminare i log di Cloud Audit Logs.

Per visualizzare esempi di log, vedi Esempi di log di controllo.

Errori di gestione di provider e pool di forza lavoro

Questa sezione fornisce suggerimenti per correggere gli errori comuni che potresti riscontrare durante la gestione di pool e fornitori.

Errori generali di mappatura degli attributi

Per risolvere i problemi di mapping degli attributi del provider di pool di identità per la forza lavoro, svolgi le seguenti operazioni:

• Controlla gli attributi, altrimenti noti come attestazioni, nella configurazione dell'IdP. Verifica in che modo le mappature degli attributi convertono gli attributi IdP in attributi Google Cloude in che modo le condizioni valutano questi attributi per consentire o negare l'accesso nella console Google Cloud .

  1. Assicurati di disporre del ruolo Editor pool di forza lavoro IAM (roles/iam.workforcePoolEditor).
  2. Per attivare il flusso di accesso basato sul browser per la federazione delle identità per la forza lavoro, aggiungi https://auth.cloud.google/signin-callback/locations/global/workforcePools/POOL_ID/providers/PROVIDER_ID all'elenco degli URI di reindirizzamento consentiti del tuo IdP.

  3. Nella console Google Cloud , vai a Pool di identità per la forza lavoro.

     Vai a Pool di identità per la forza lavoro
  4. Nell'elenco dei pool, fai clic sul nome del pool che vuoi verificare.
  5. Nella pagina Dettagli del pool di forza lavoro, fai clic sul nome dell'IdP che vuoi verificare.
  6. Nella pagina Dettagli del provider, fai clic su Esegui il debug del token IdP.
  7. Nella finestra di dialogo Accedi, accedi al tuo IdP come utente di test.

  La pagina Convalida gli attributi del provider mostra gli attributi mappati e il risultato della condizione dell'attributo.

  La sezione Attributi mappati dal token IdP mostra come gli attributi Google, ad esempio google.subject, vengono compilati dal token dell'IdP in base alla configurazione della mappatura. Se un mapping non è corretto, viene visualizzata un'icona di errore.

  La sezione Condizione attributo mostra il risultato booleano della tua condizione. Se la condizione restituisce false, l'accesso viene bloccato.

  Per visualizzare il token di asserzione completo, fai clic su Visualizza token completo. Viene visualizzato l'oggetto JSON non elaborato del tuo IdP. Fai riferimento a una proprietà di primo livello nelle mappature utilizzando il formato assertion.PROPERTY_NAME.

  Per correggere eventuali errori, puoi modificare la configurazione:

  1. Nella pagina Convalida gli attributi del provider, fai clic su Modifica.
  2. Apporta le modifiche necessarie.
  3. Per avviare un nuovo test e visualizzare i risultati aggiornati, fai clic su Salva e recupera token.

• Esamina i token generati dal tuo IdP. Per scoprire come generare un token dal tuo IdP, consulta la relativa documentazione.

• Esamina i log di controllo dettagliati della federazione delle identità per la forza lavoro in Cloud Audit Logs.

La registrazione degli audit dettagliata registra gli errori di autenticazione e autorizzazione insieme alle attestazioni ricevute da Workforce Identity Federation.

Puoi attivare la registrazione dettagliata degli audit quando crei il provider del pool di identità della forza lavoro. Per attivare la registrazione dettagliata degli audit log, aggiungi il flag --detailed-audit-logging quando crei il provider di pool di identità per la forza lavoro.

Autorizzazione negata

Questo errore si verifica quando l'utente che tenta di configurare la federazione delle identità per la forza lavoro non dispone del ruolo Amministratore pool di identità della forza lavoro IAM (roles/iam.workforcePoolAdmin).

INVALID_ARGUMENT: Missing OIDC web single sign-on config

Il seguente errore si verifica quando i campi web-sso-response-type e web-sso-assertion-claims-behavior non sono impostati durante la creazione di un provider di pool di identità del workforce OIDC:

ERROR: (gcloud.iam.workforce-pools.providers.create-oidc) INVALID_ARGUMENT: Missing OIDC web single sign-on config.

Per risolvere questo errore, segui i passaggi descritti nella sezione Crea un provider per impostare i campi in modo appropriato quando crei il provider di identità del pool di identità della forza lavoro OIDC.

Limite di frequenza superato. Riprova più tardi

Questo errore si verifica quando hai raggiunto il limite di quota per le risorse del pool di forza lavoro. Contatta il tuo Google Cloud rappresentante dell'account per richiedere un aumento della quota.

Errori di accesso

Questa sezione fornisce suggerimenti per correggere gli errori comuni che un utente della federazione delle identità per la forza lavoro potrebbe riscontrare durante l'accesso.

Errori di accesso comuni

La credenziale specificata viene rifiutata dalla condizione dell'attributo

Questo errore si verifica quando la condizione dell'attributo impostata sul provider del pool di identità del workforce non è stata soddisfatta.

Ad esempio, considera la seguente condizione dell'attributo:

SAML

'gcp-users' in assertion.attributes.groups

OIDC

'gcp-users' in assertion.groups

In questo caso, l'errore viene visualizzato se l'elenco dei gruppi inviato nell'attributo groups dal tuo IdP non contiene gcp-users.

Per risolvere questo errore, segui questi passaggi:

1. Descrivi il provider utilizzato per accedere e verifica che attributeCondition sia corretto. Per informazioni sulle operazioni supportate nelle condizioni, consulta la definizione del linguaggio.

2. Segui i passaggi descritti in Esamina la risposta dell'IdP per visualizzare gli attributi restituiti dall'IdP e verificare se la condizione dell'attributo è ben formata e accurata.

3. Accedi alla Console di amministrazione del tuo IdP e controlla se gli attributi IdP a cui viene fatto riferimento nella condizione dell'attributo sono configurati correttamente. Se necessario, consulta la documentazione del tuo IdP.

L'attributo mappato deve essere di tipo STRING

Questo errore si verifica per un provider di pool di identità della forza lavoro SAML quando l'attributo specificato nel messaggio di errore deve essere una STRINGA a valore singolo, ma è mappato a un elenco nella mappatura degli attributi.

Ad esempio, considera un provider di pool di identità della forza lavoro SAML che ha la mappatura degli attributi attribute.role=assertion.attributes.userRole. In un'asserzione SAML, un Attribute può avere più tag AttributeValue come mostrato nell'esempio seguente. Pertanto, tutti gli attributi SAML sono considerati elenchi, quindi assertion.attributes.userRole è un elenco.

<saml:Attribute Name="userRole">
    <saml:AttributeValue>
      security-admin
    </saml:AttributeValue>
    <saml:AttributeValue>
      user
    </saml:AttributeValue>
</saml:Attribute>

In questo esempio, potresti visualizzare il seguente errore:

The mapped attribute 'attribute.role' must be of type STRING

Per risolvere il problema, segui questi passaggi:

1. Descrivi il provider utilizzato per accedere e identifica l'attributo IdP impostato in attributeMapping. Controlla l'attributo rispetto a quello presentato nel messaggio di errore. Nell'esempio precedente, un attributo IdP chiamato userRole è mappato all'attributo role e l'attributo role viene visualizzato nell'esempio di errore riportato sopra.

2. Quando aggiorni la mappatura degli attributi, tieni presente quanto segue:

   Nota: solo google.groups accetta un elenco.

   • Se l'attributo che causa l'errore è un elenco di valori, identifica un attributo alternativo, stabile e con valori di stringa. Quindi, aggiorna il mapping degli attributi per utilizzarlo facendo riferimento al primo elemento. Per l'esempio precedente, se myRole è stato identificato come attributo IdP alternativo a valore singolo, la mappatura degli attributi è la seguente:

     attribute.role=assertion.attributes.myRole[0]
     

   • In alternativa, se l'attributo è noto per essere a valore singolo, aggiorna la mappatura dell'attributo in modo che utilizzi il primo elemento dell'elenco. Per l'esempio precedente, se userRole contiene un solo ruolo, puoi utilizzare il seguente mapping:

     attribute.role=assertion.attributes.userRole[0]
     

   • Per ricavare un identificatore stabile a valore singolo dall'elenco, consulta la definizione della lingua e aggiorna la mappatura degli attributi di conseguenza.

Consulta la sezione Esamina la risposta del provider di identità per visualizzare la risposta restituita dal provider di identità.

Impossibile ottenere un valore per google.subject dalle credenziali fornite

Questo errore si verifica quando l'attestazione richiesta google.subject non è stata mappata utilizzando la mappatura degli attributi che hai impostato nella configurazione del provider di identità del pool di forza lavoro.

Per risolvere questo errore, segui questi passaggi:

1. Descrivi il fornitore e ispeziona attributeMapping. Identifica la mappatura configurata per google.subject. Se il mapping non è corretto, aggiorna il provider del pool di identità della forza lavoro.

2. Consulta la sezione Esamina la risposta del provider di identità per visualizzare la risposta restituita dal provider di identità. Esamina il valore dell'attributo dalla risposta IdP che è mappato a google.subject nelle mappature degli attributi.

   Se il valore è vuoto o errato, accedi alla Console di amministrazione del tuo IdP e controlla gli attributi configurati. Per gli attributi, verifica se l'utente interessato dispone di dati corrispondenti nel tuo IdP. Aggiorna la configurazione del tuo IdP per correggere di conseguenza gli attributi o le informazioni utente.

3. Riprova ad accedere.

Le dimensioni degli attributi mappati superano il limite

Quando un utente federato tenta di accedere, si verifica il seguente errore:

The size of the entire mapped attributes exceeds the 16 KB limit.

Per risolvere il problema, chiedi all'amministratore del tuo IdP di ridurre il numero di attributi emessi dall'IdP. Il tuo IdP deve emettere solo gli attributi necessari per federare gli utenti a Google Cloud. Per saperne di più sui limiti della mappatura degli attributi, consulta Mappature degli attributi.

Ad esempio, se il tuo IdP emette un numero elevato di google.groups che sono attributi mappati nel tuo provider del pool di identità della forza lavoro, un tentativo di accesso può non riuscire. Chiedi all'amministratore di limitare il numero di gruppi emessi dal tuo IdP.

Il conteggio dei gruppi supera il limite

Quando un utente federato tenta di accedere, si verifica il seguente errore:

The current count of GROUPS_COUNT mapped attribute google.groups exceeds the GROUPS_COUNT_LIMIT count limit. Either modify your attribute mapping or the incoming assertion to produce a mapped attribute that has fewer than GROUPS_COUNT_LIMIT groups.

Questo errore include i seguenti valori:

• GROUPS_COUNT: il conteggio dei gruppi emessi dal provider di identità

• GROUPS_COUNT_LIMIT:limite di conteggio di Google Cloudper i gruppi

Questo errore si verifica quando il numero di gruppi emessi dall'IdP supera il limite diGoogle Cloud. I gruppi vengono mappati a Google Cloud utilizzando l'attributo google.groups.

Per risolvere il problema, chiedi all'amministratore di ridurre il numero di gruppi emessi dal tuo IdP. Il tuo IdP deve emettere solo i gruppi utilizzati per federare gli utenti a Google Cloud. Scopri di più sui limiti relativi ai gruppi nelle mappature degli attributi.

Impossibile trovare il tenant SCIM

Questo errore si verifica quando un utente tenta di accedere utilizzando un provider del pool di identità della forza lavoro configurato per utilizzare SCIM, ma per questo provider non è configurato alcun tenant SCIM.

In questo caso, gli utenti visualizzano il seguente errore quando tentano di accedere:

There was an issue signing in with your identity provider.

Per risolvere questo errore:

1. Configura un tenant e un token SCIM su Google Cloud.
2. Collega il provider a un tenant SCIM.

400. Questo è un errore

Questo errore si verifica quando la richiesta non è stata ricevuta come previsto o è formattata in modo errato.

Per risolvere questo errore, segui questi passaggi:

1. Segui i passaggi descritti nella sezione Informa gli utenti su come accedere per verificare se stai seguendo i passaggi corretti per accedere.

2. Confronta la configurazione del provider del pool di identità della forza lavoro con la configurazione dell'IdP.

Errori di accesso con attributi aggiuntivi

Questa sezione fornisce suggerimenti per correggere gli errori durante l'utilizzo degli attributi aggiuntivi.

L'accesso non riesce quando vengono configurati attributi aggiuntivi

Se hai configurato attributi aggiuntivi, qualsiasi problema di configurazione, ad esempio un ID client, un client secret o un URI emittente errati, causa il mancato tentativo di accesso.

Per risolvere questo errore, segui questi passaggi:

1. Descrivi il fornitore e verifica che l'ID client e l'URI emittente siano corretti.
2. Verifica che il client secret sia valido e non sia scaduto.
3. Nel tuo IdP, verifica che l'applicazione disponga delle autorizzazioni necessarie.

I gruppi dell'asserzione SAML o OIDC vengono ignorati

Quando vengono configurati attributi aggiuntivi, la federazione delle identità per la forza lavoro ignora qualsiasi informazione sui gruppi fornita direttamente nelle rivendicazioni SAML o OIDC. ma utilizza solo i gruppi recuperati tramite il canale secondario (ad esempio, utilizzando l'API Microsoft Graph).

Se gli utenti non vedono i gruppi previsti, assicurati che vengano recuperati correttamente utilizzando il canale secondario e che tutti i filtri degli attributi siano configurati correttamente.

Errori di accesso OIDC

Questa sezione fornisce suggerimenti per correggere errori specifici di OIDC che un utente della federazione delle identità per la forza lavoro potrebbe riscontrare durante l'accesso.

Errore durante la connessione all'emittente della credenziale specificata

Questo errore si verifica quando un provider del pool di identità della forza lavoro OIDC non riesce a raggiungere il documento di rilevamento OIDC o l'URI JWKS.

Per risolvere questo errore, segui questi passaggi:

1. Descrivi il fornitore e controlla il issuerUri configurato. Crea l'URL del documento di rilevamento aggiungendo /.well-known/openid-configuration all'URI dell'emittente. Ad esempio, se il tuo issuerUri è https://example.com, l'URL del documento di rilevamento sarebbe https://example.com/.well-known/openid-configuration.

2. Apri l'URL del documento di rilevamento in una finestra di navigazione in incognito.

   1. Se l'URL non si apre o il browser visualizza un errore 404, consulta la documentazione del tuo IdP per identificare l'URI dell'emittente corretto. Se necessario, aggiorna issuerUri nel provider di pool di identità per la forza lavoro.

      Se il tuo IdP viene eseguito on-premise, consulta la relativa documentazione per eseguire il provisioning per l'accesso a internet.

   2. Se l'URL si apre, verifica le seguenti condizioni:

      1. Verifica che l'URL non reindirizzi troppe volte prima di pubblicare il documento di rilevamento. In questo caso, rivolgiti all'amministratore del tuo IdP per risolvere il problema.
      2. Controlla il tempo di risposta dell'IdP. Rivolgiti all'amministratore dell'IdP per ridurre la latenza della risposta.
      3. Il documento di rilevamento aperto deve essere in formato JSON.

      4. Cerca un campo jwks_uri nel JSON.

         1. Verifica che si apra anche il valore dell'URL associato.
         2. Verifica che l'URL soddisfi le condizioni descritte in precedenza in questa guida.

   3. Riprova ad accedere.

Errori di accesso SAML

Questa sezione fornisce suggerimenti per correggere errori specifici di SAML che un utente della federazione delle identità della forza lavoro potrebbe riscontrare durante l'accesso.

Impossibile verificare la firma in SAMLResponse

Questo errore si verifica per un provider di pool di identità della forza lavoro SAML quando la firma nella risposta IdP non può essere verificata utilizzando nessuno dei certificati X.509 forniti nel file XML dei metadati IdP che hai configurato nel provider di pool di identità della forza lavoro. Una causa comune di questo errore è che il certificato di verifica sul tuo IdP è stato ruotato, ma non hai aggiornato la configurazione del provider del pool di identità della forza lavoro con il file XML dei metadati IdP più recente.

Per risolvere questo errore, segui questi passaggi:

1. (Facoltativo) Segui i passaggi descritti in Esamina la risposta dell'IdP per visualizzare la risposta restituita dall'IdP e individuare il campo X509Certificate. Descrivi il provider che hai utilizzato per accedere e ispeziona il campo X509Certificate presente nel valore idpMetadataXml impostato nel provider del pool di identità della forza lavoro. Confronta il certificato con quello visualizzato nella risposta restituita dal tuo IdP. I certificati devono corrispondere.

2. Accedi alla Console di amministrazione del tuo IdP e scarica l'ultimo file XML dei metadati.

3. Aggiorna il provider di pool di identità per la forza lavoro con il file XML dei metadati IdP scaricato.

4. Riprova ad accedere.

Il destinatario nell'asserzione SAML non è impostato sull'URL ACS corretto

Questo errore si verifica per un provider del pool di identità della forza lavoro SAML quando la risposta IdP contiene un valore errato per il campo Recipient nel tag SubjectConfirmationData.

Per risolvere questo errore, aggiorna Recipient URL / Redirect URL o il campo equivalente nella configurazione dell'IdP in modo che utilizzi l'URL di reindirizzamento descritto in Configurare gli URL di reindirizzamento nell'IdP e riprova ad accedere.

Segui i passaggi descritti in Esamina la risposta del fornitore di identità per visualizzare la risposta restituita dal fornitore di identità e verificare che il campo Recipient sia corretto.

Ad esempio, per il provider di identità del pool di identità del workforce locations/global/workforcePools/example-pool/providers/example-provider, il Recipient contenente l'URL di reindirizzamento viene visualizzato nella risposta SAML dell'IdP nel seguente modo:

<SubjectConfirmationData Recipient="https://auth.cloud.google/signin-callback/locations/global/workforcePools/example-pool/providers/example-provider"

La destinazione SAMLResponse non corrisponde all'URL di callback del relying party

Questo errore si verifica per un provider del pool di identità della forza lavoro SAML quando la risposta IdP contiene un valore errato per il campo Destination nel tag Response.

Per risolvere questo errore, aggiorna il campo Destination URL / Redirect URL o il campo equivalente nella configurazione dell'IdP in modo che utilizzi l'URL di reindirizzamento descritto in Configurare gli URL di reindirizzamento nell'IdP.

Segui i passaggi descritti in Esamina la risposta del fornitore di identità per visualizzare la risposta restituita dal fornitore di identità e verificare che il campo Destination sia corretto.

Ad esempio, per un provider di pool di identità del workforce locations/global/workforcePools/example-pool/providers/example-provider, il Destination contenente l'URL di reindirizzamento viene visualizzato nella risposta SAML dell'IdP come segue:

<Response Destination="https://auth.cloud.google/signin-callback/locations/global/workforcePools/example-pool/providers/example-provider"

Asserzione non valida: NameID mancante o vuoto

Questo errore si verifica quando la risposta SAML ricevuta dal tuo IdP non contiene il campo NameId o ha un valore vuoto.

Per risolvere questo errore, consulta la documentazione del tuo IdP per configurarlo in modo che invii NameID, ovvero l'oggetto di un'asserzione SAML, in genere l'utente che viene autenticato.

Nota: NameID è obbligatorio anche se decidi di mappare un attributo diverso a google.subject nella mappatura degli attributi.

Segui i passaggi descritti in Esaminare la risposta dell'IdP per visualizzare la risposta restituita dall'IdP e il NameID impostato.

Tutti i <AudienceRestriction> devono contenere l'ID entità RP SAML

Questo errore si verifica quando i tag AudienceRestriction nella risposta SAML del tuo IdP non impostano un tag Audience con un valore che rappresenta l'ID entità del provider del pool di identità della forza lavoro.

Per risolvere questo errore, segui questi passaggi:

1. Consulta la documentazione dell'IdP per scoprire come configurare il pubblico nei tag AudienceRestriction che invia nella risposta SAML. In genere, il segmento di pubblico viene configurato impostando il campo Entity ID o Audience nella configurazione dell'IdP. Consulta la sezione SAML del provider del pool di identità per la forza lavoro per visualizzare il valore SP Entity ID da impostare.

2. Dopo aver aggiornato la configurazione dell'IdP, riprova ad accedere.

Segui i passaggi descritti in Esaminare la risposta dell'IdP per visualizzare la risposta restituita dall'IdP e i AudienceRestriction impostati.

Errori di provisioning e sincronizzazione SCIM

Questa sezione descrive come risolvere i problemi relativi al provisioning e alla sincronizzazione SCIM nella federazione delle identità per la forza lavoro.

Autenticazione token SCIM non riuscita (HTTP 401 o 403)

Questo errore si verifica quando i log del provider di identità (IdP) segnalano errori di autenticazione (HTTP 401 Unauthorized o HTTP 403 Forbidden). Le cause comuni includono quanto segue:

• Il token SCIM è mancante, non valido o scaduto.
• Il token SCIM contiene spazi aggiuntivi.
• Nella richiesta manca l'intestazione Authorization: Bearer <TOKEN>.
• Il token SCIM non dispone di autorizzazioni sufficienti.

Per risolvere il problema, segui questi passaggi:

1. Nella configurazione del provisioning dell'IdP, verifica che il token SCIM corrisponda al token segreto generato in Google Cloud senza spazi bianchi aggiuntivi.

2. Se il token è perso o non valido, generane uno nuovo:

   Nota: ogni tenant SCIM supporta un massimo di due token SCIM. Se hai già due token, devi eliminarne uno esistente prima di crearne uno nuovo. Per maggiori informazioni, consulta La creazione del token SCIM non va a buon fine.

   gcloud iam workforce-pools providers scim-tenants tokens create SCIM_TOKEN_ID \
       --workforce-pool="WORKFORCE_POOL_ID" \
       --provider="PROVIDER_ID" \
       --scim-tenant="SCIM_TENANT_ID" \
       --location="global"
   

   Sostituisci quanto segue:

   • SCIM_TOKEN_ID: un ID per il nuovo token SCIM.
   • WORKFORCE_POOL_ID: l'ID del pool di identità della forza lavoro.
   • PROVIDER_ID: l'ID del provider del pool di forza lavoro.
   • SCIM_TENANT_ID: l'ID del tenant SCIM.

3. Aggiorna il token segreto nella configurazione dell'IdP.

Limite di frequenza superato (HTTP 429 Troppe richieste)

Questo errore si verifica quando i tassi di richieste IdP superano la quota del tenant SCIM. Per impostazione predefinita, le richieste di scrittura e lettura sono limitate a 3000 richieste al minuto per tenant SCIM per organizzazione, il che equivale a 50 query al secondo (QPS). Per saperne di più, consulta Quote e limiti.

Per risolvere il problema, segui questi passaggi:

1. Verifica che il tasso di richieste di sincronizzazione dell'IdP rientri nei limiti di quota.
2. Nella console Google Cloud , vai a IAM e amministrazione > Quote e filtra per iamscim.googleapis.com per monitorare l'utilizzo della quota.
3. Se hai bisogno di una velocità effettiva superiore, richiedi un aumento della quota nella console Google Cloud .

La creazione del tenant SCIM non riesce.

Questo errore si verifica quando il comando gcloud iam workforce-pools providers scim-tenants create non va a buon fine.

Le cause comuni includono:

• Esiste già un tenant SCIM nel pool di forza lavoro. Ogni pool di forza lavoro supporta un solo tenant SCIM.
• Un tenant SCIM eliminato di recente si trova ancora nel periodo di eliminazione temporanea di 30 giorni.
• Non disponi del ruolo Amministratore pool di identità della forza lavoro IAM (roles/iam.workforcePoolAdmin).
• Il flag --claim-mapping contiene espressioni Common Expression Language (CEL) non supportate.

Per risolvere il problema, segui questi passaggi:

1. Verifica di disporre del ruolo Amministratore pool di identità della forza lavoro IAM (roles/iam.workforcePoolAdmin).

2. Elenca i tenant SCIM esistenti per verificare se un tenant esiste già:

   gcloud iam workforce-pools providers scim-tenants list \
       --workforce-pool="WORKFORCE_POOL_ID" \
       --provider="PROVIDER_ID" \
       --location="global"
   

   Sostituisci quanto segue:

   • WORKFORCE_POOL_ID: l'ID del pool di identità della forza lavoro.
   • PROVIDER_ID: l'ID del provider del pool di forza lavoro.

3. Se un tenant eliminato in precedenza viene eliminato temporaneamente, eliminalo definitivamente utilizzando il flag --hard-delete:

   gcloud iam workforce-pools providers scim-tenants delete SCIM_TENANT_ID \
       --workforce-pool="WORKFORCE_POOL_ID" \
       --provider="PROVIDER_ID" \
       --location="global" \
       --hard-delete
   

   Sostituisci SCIM_TENANT_ID con l'ID del tenant SCIM.

4. Assicurati che --claim-mapping utilizzi solo espressioni CEL supportate. Per ulteriori informazioni, consulta Attributi SCIM e token di mappatura.

La creazione del token SCIM non riesce

Questo errore si verifica quando il comando gcloud iam workforce-pools providers scim-tenants tokens create non va a buon fine.

Le cause comuni includono:

• Il tenant SCIM ha già il numero massimo di token SCIM, ovvero due.
• Non disponi del ruolo Amministratore pool di identità della forza lavoro IAM (roles/iam.workforcePoolAdmin).

Per risolvere il problema, segui questi passaggi:

1. Verifica di disporre del ruolo Amministratore pool di identità della forza lavoro IAM (roles/iam.workforcePoolAdmin).

2. Elenca i token SCIM esistenti per verificare se è stato raggiunto il limite di due token:

   gcloud iam workforce-pools providers scim-tenants tokens list \
       --workforce-pool="WORKFORCE_POOL_ID" \
       --provider="PROVIDER_ID" \
       --scim-tenant="SCIM_TENANT_ID" \
       --location="global"
   

   Sostituisci quanto segue:

   • WORKFORCE_POOL_ID: l'ID del pool di identità della forza lavoro.
   • PROVIDER_ID: l'ID del provider del pool di forza lavoro.
   • SCIM_TENANT_ID: l'ID del tenant SCIM.

3. Se il tenant SCIM ha già due token, elimina un token inutilizzato o non valido:

   gcloud iam workforce-pools providers scim-tenants tokens delete SCIM_TOKEN_ID \
       --workforce-pool="WORKFORCE_POOL_ID" \
       --provider="PROVIDER_ID" \
       --scim-tenant="SCIM_TENANT_ID" \
       --location="global"
   

   Sostituisci SCIM_TOKEN_ID con l'ID del token SCIM da eliminare.

4. Dopo aver eliminato il token, riprova a creare il nuovo token SCIM.

Conflitto di mappatura degli attributi duplicati (HTTP 409 Conflict)

Questo errore si verifica quando i log del provider di identità (IdP) segnalano un HTTP 409 Conflict durante la sincronizzazione perché l'IdP invia valori duplicati per google.subject o google.group oppure valori userName o displayName non univoci.

Per risolvere il problema, segui questi passaggi:

1. Nella console di amministrazione del tuo IdP, verifica che gli attributi mappati a google.subject e google.group producano valori non sovrapposti.
2. Assicurati che ogni utente abbia un userName univoco e che ogni gruppo abbia un displayName univoco.

Le richieste PATCH di Microsoft Entra ID non vanno a buon fine

Questo errore si verifica quando gli aggiornamenti utente o le richieste PATCH da Microsoft Entra ID non vanno a buon fine perché nell'URL tenant manca il parametro di query ?aadOptscim062020, necessario per le richieste PATCH conformi alla RFC.

Per risolvere il problema, segui questi passaggi:

1. In Microsoft Entra ID, vai all'applicazione aziendale e seleziona Provisioning > Gestisci provisioning > Credenziali amministratore.

2. Nel campo URL tenant, aggiungi ?aadOptscim062020 all'URI di base:

   https://iamscim.googleapis.com/v1alpha1/tenants/SCIM_TENANT_UID?aadOptscim062020
   

   Sostituisci SCIM_TENANT_UID con l'ID univoco del tuo tenant SCIM.

3. Fai clic su Verifica connessione e poi salva la configurazione.

L'accesso o la condivisione basati su utenti o gruppi non funzionano

Questo problema si verifica quando gli utenti sincronizzati non possono accedere alle risorse Google Cloud o quando la condivisione di notebook in Gemini Notebook Enterprise o di agenti nell'app Gemini Enterprise non va a buon fine.

Le cause comuni includono:

• Errori o ritardi di sincronizzazione invisibili dal provider di identità.
• Mappature delle rivendicazioni incoerenti tra il provider (--attribute-mapping) e il tenant SCIM (--claim-mapping).
• Modifiche nel provider di identità agli attributi mappati su google.subject o google.group. Google Cloud si aspetta che i valori mappati a questi attributi siano immutabili.
• L'utilizzo di SCIM non è abilitato per i gruppi sul provider.

Per risolvere il problema, segui questi passaggi:

1. Verifica la sincronizzazione e l'appartenenza: conferma che utenti, gruppi e appartenenze ai gruppi siano stati sincronizzati correttamente con Google Cloud:

   • Verifica la sincronizzazione degli utenti:

     curl -G -H "Authorization: Bearer SCIM_TOKEN" \
       "https://iamscim.googleapis.com/v1alpha1/tenants/SCIM_TENANT_UID/Users" \
       --data-urlencode 'filter=userName eq "USER_NAME"'
     

   • Verifica la sincronizzazione dei gruppi:

     curl -G -H "Authorization: Bearer SCIM_TOKEN" \
       "https://iamscim.googleapis.com/v1alpha1/tenants/SCIM_TENANT_UID/Groups" \
       --data-urlencode 'filter=displayName eq "GROUP_NAME"'
     

   • Verifica dell'iscrizione al gruppo: conferma che un utente è membro di un gruppo:

     curl -G -H "Authorization: Bearer SCIM_TOKEN" \
       "https://iamscim.googleapis.com/v1alpha1/tenants/SCIM_TENANT_UID/Groups" \
       --data-urlencode 'filter=id eq "GROUP_ID" and members eq "USER_ID"'
     

     Se l'utente è membro del gruppo, la risposta restituisce totalResults: 1. Se l'utente non è membro, la risposta restituisce totalResults: 0.

   Sostituisci quanto segue:

   • SCIM_TOKEN: il token secret SCIM.
   • SCIM_TENANT_UID: l'ID univoco del tuo tenant SCIM.
   • USER_NAME: il nome utente dell'utente sincronizzato.
   • GROUP_NAME: il nome visualizzato del gruppo sincronizzato.
   • GROUP_ID: l'ID SCIM del gruppo sincronizzato, restituito nel campo id della risposta alla query del gruppo.
   • USER_ID: l'ID SCIM dell'utente sincronizzato, restituito nel campo id della risposta alla query utente.

2. Controlla le mappature delle rivendicazioni: assicurati che l'attributo mappato a google.subject nel provider (ad esempio, google.subject=assertion.email.lowerAscii()) corrisponda all'identità mappata nel tenant SCIM (ad esempio, google.subject=user.emails[0].value.lowerAscii()). Poiché le mappature delle rivendicazioni sono immutabili, se le mappature non sono coerenti, devi eliminare definitivamente il tenant SCIM e ricrearlo con la mappatura corretta.

3. Garantisci l'immutabilità dell'identificatore: verifica che gli attributi IdP mappati a google.subject e google.group non siano cambiati. Google Cloud considera i valori mappati a questi attributi come identificatori immutabili. Se un valore dell'attributo è cambiato nel tuo IdP, ripristina la modifica nell'IdP o elimina definitivamente l'utente o il gruppo interessato dal tuo IdP e ricrealo con il nuovo valore in modo che l'identificatore corrisponda a quello previsto da Google Cloud.

4. Abilita l'utilizzo dei gruppi SCIM: aggiorna il provider per abilitare SCIM per i gruppi:

   gcloud iam workforce-pools providers update-oidc PROVIDER_ID \
       --workforce-pool="WORKFORCE_POOL_ID" \
       --location="global" \
       --scim-usage="enabled-for-groups"
   

   Sostituisci quanto segue:

   • PROVIDER_ID: l'ID del provider del pool di forza lavoro.
   • WORKFORCE_POOL_ID: l'ID del pool di identità della forza lavoro.

Le modifiche apportate al provider di identità vengono ritardate o non vengono applicate

Questo problema si verifica quando gli aggiornamenti dell'IdP a utenti, appartenenze a gruppi o eliminazioni non vengono visualizzati immediatamente in Google Cloud.

Poiché SCIM è basato sul push, gli aggiornamenti dipendono dalla pianificazione della sincronizzazione dell'IdP. Ad esempio, Microsoft Entra ID si sincronizza ogni 40 minuti circa.

Per risolvere il problema, segui questi passaggi:

1. Attendi il successivo ciclo di sincronizzazione pianificato dal tuo IdP.
2. Per applicare immediatamente le modifiche, attiva una sincronizzazione on demand nella console di amministrazione del tuo IdP.

Il provisioning degli utenti non va a buon fine a causa del formato dell'email

Questo errore si verifica quando la sincronizzazione di utenti specifici con Google Cloudnon va a buon fine e i log del tuo provider di identità (IdP) segnalano un errore HTTP 400 Bad Request con un errore SCIM invalidValue.

Google Cloud SCIM richiede esattamente un indirizzo email di lavoro per utente. Il provisioning non riesce se il fornitore di identità invia più email o se l'email non è di tipo work.

Per risolvere il problema, configura la mappatura degli attributi IdP in modo da inviare solo l'email di lavoro principale.

Gli aggiornamenti di gruppo non vanno a buon fine (HTTP PUT non supportato)

Questo errore si verifica quando gli aggiornamenti di gruppo non vanno a buon fine perché il client utilizza HTTP PUT, che non è supportato. L'API Google Cloud SCIM supporta solo HTTP PATCH per gli aggiornamenti dei gruppi.

Per risolvere il problema, configura il tuo IdP o client personalizzato in modo che utilizzi HTTP PATCH per gli aggiornamenti dei gruppi.