启用AWS SSO的SageMaker域创建报错：需配置SSO必填字段

问题原因 #

启用AWS SSO的SageMaker域必须绑定具体的SSO用户或组作为访问主体，当缺失SingleSignOnIdentifierTypeString（标识符类型，可选USER或GROUP）和SingleSignOnIdentifierValue（对应SSO用户/组ID）这两个关键配置项时，就会触发该错误。

修复步骤 #

1. 获取SSO用户/组的标识符信息 #

• 登录AWS SSO控制台，进入对应身份源的用户或组列表
• 找到要关联到SageMaker域的用户/组，复制其用户ID或组ID（作为SingleSignOnIdentifierValue的值）
• 确定标识符类型：选用户填USER，选组填GROUP（对应SingleSignOnIdentifierTypeString）

2. 更新SageMaker域配置 #

方法一：AWS CLI操作

执行以下命令，替换占位符为实际内容：

aws sagemaker update-domain \
    --domain-id <你的SageMaker域ID> \
    --default-user-settings '{
        "SingleSignOnIdentifierType": "USER",
        "SingleSignOnIdentifierValue": "<你的SSO用户ID>"
    }'

若关联组，将SingleSignOnIdentifierType改为GROUP并填入组ID即可。

方法二：控制台操作

• 进入SageMaker控制台，找到目标域并点击编辑
• 在默认用户设置或身份认证相关板块，找到SSO关联选项
• 选择标识符类型，填入对应的SSO用户/组ID，保存更改

3. 验证修复效果 #

更新完成后刷新SageMaker域页面，错误提示应消失。若问题依旧，检查以下几点：

• 填入的SSO用户/组ID是否正确
• 当前账号是否拥有sagemaker:UpdateDomain和sso:DescribeUser/DescribeGroup权限
• 域所在VPC是否能正常访问AWS SSO服务端点（私有VPC需确保网络连通）

内容的提问来源于stack exchange，提问作者Nicolas Dao