[AWS SCS] SAML 2.0 Metadata File Troubleshooting

AWS에서 SAML 2.0 Federation 설정 및 문제 해결 방법

SAML 2.0 Federation 설정 절차

AWS에서 SAML 2.0 기반의 Federation을 설정하기 위해 다음 단계를 수행합니다:

1. 메타데이터 파일 다운로드: AWS에서 메타데이터 파일을 다운로드합니다.
2. 서비스 공급자로 등록: 다운로드한 메타데이터 파일을 사용하여 AWS를 IdP(Identity Provider)에 서비스 공급자로 등록합니다. IdP는 기업 데이터 센터에 위치합니다.
3. 메타데이터 XML 파일 생성: IdP에서 메타데이터 XML 파일을 생성합니다. 이 파일은 다음 단계에서 IAM에 등록됩니다.
4. SAML Identity Provider 생성: 생성한 XML 파일을 IAM 서비스에 업로드하여 SAML Identity Provider를 생성합니다.
5. IAM 역할 생성: SAML Provider에 사용될 IAM 역할을 생성합니다.

위 과정을 통해 AWS에서 SAML 2.0 기반 Federation이 설정됩니다.

SAML 메타데이터 파일

SAML 메타데이터 파일은 Federation 설정의 중요한 부분입니다. 다음은 이 파일의 주요 구성 요소입니다:

1. 만료(expiration): XML 파일에는 만료 날짜가 포함되어 있습니다. 따라서 파일이 만료되면 갱신해야 합니다.
2. 발급자(issuer): 해당 XML 파일을 발급한 조직을 나타냅니다.
3. 서명 키: SAML Assertion을 검증하기 위해 사용됩니다. 이 키는 Assertion이 올바르게 서명되었는지 확인합니다.

문제 및 해결 방법

만약 AWS에서 다음과 같은 오류가 발생한다면:

• 오류 메시지: Response signature invalid
• 상태 코드: 400
• 오류 코드: InvalidIdentityToken

이는 IdP의 Federation 메타데이터 파일과 IAM Identity Provider 메타데이터가 일치하지 않아서 발생하는 문제입니다. 이 문제의 원인은 다음과 같습니다:

1. 인증서가 갱신되어 메타데이터 파일이 변경된 경우
2. 메타데이터 파일이 만료된 경우

해결 방법

1. SAML 2.0 메타데이터 파일 재다운로드: IdP에서 최신 메타데이터 파일을 다운로드합니다.
2. IAM에 파일 업데이트: CLI를 사용하여 새 메타데이터 파일을 IAM에 업로드합니다. 다음 명령어를 사용합니다.

aws iam update-saml-provider --saml-metadata-document file://new_metadata_file.xml --saml-provider-arn arn:aws:iam::account-id:saml-provider/provider-name

 

이 명령어를 실행하면 갱신된 메타데이터 파일이 적용됩니다.

요약

• SAML 2.0 Federation 설정은 메타데이터 파일을 기반으로 진행됩니다.
• 메타데이터 파일의 만료 및 변경 사항에 주의해야 합니다.
• 오류가 발생하면 최신 메타데이터 파일을 다운로드하여 IAM에 업데이트하면 문제를 해결할 수 있습니다.