无法通过Cloudflare SAML配置AWS SSO（AWS Identity Center）求助

尝试配置AWS Identity Center（原AWS SSO）实现Cloudflare单点登录，在AWS门户点击Cloudflare应用时触发Invalid SAML Response错误。已完成AWS侧Cloudflare应用设置、SAML属性映射、Cloudflare侧SAML身份提供商配置，调整属性映射值后问题仍未解决。

• 核对SAML属性映射
  Cloudflare要求SAML断言必须包含email属性，且值需与Cloudflare账户邮箱完全匹配：
  • 确认AWS侧将用户邮箱属性（如${user:email}）映射到SAML断言的email字段
  • 排查邮箱格式问题，避免大小写错误、多余空格或特殊字符
• 验证签名与证书
  • 确保AWS Identity Center已启用SAML响应签名
  • 检查Cloudflare侧是否正确导入AWS的元数据证书，确认证书未过期、格式为PEM且无冗余内容
• 匹配端点与实体ID
  • 确认Cloudflare侧配置的SSO端点URL与AWS提供的ACS URL完全一致
  • 核对双方的实体ID（Entity ID），确保AWS应用的实体ID和Cloudflare身份提供商的实体ID完全匹配
• 分析SAML响应内容
  使用浏览器开发者工具的Network面板捕获SAML请求/响应，检查断言中是否包含必填属性，以及属性值是否符合Cloudflare要求；也可借助SAML分析工具辅助排查
• 确认用户权限分配
  确保AWS Identity Center中的目标用户已被分配到Cloudflare应用，且该用户在Cloudflare侧拥有有效账户权限（如成员或管理员权限）

内容的提问来源于stack exchange，提问作者19sax96