AWS托管Grafana的/saml/acs URL返回Forbidden错误排查
以下是除NameId格式和证书有效性之外，可能导致该错误的常见原因及排查方向：
State/RelayState参数不匹配或丢失
Grafana发起SSO请求时会生成唯一的state参数，存储在用户会话或Cookie中，SAML响应必须通过RelayState参数带回该值，Grafana才能验证请求的合法性。如果Keycloak未正确转发该参数，或跨域场景下Cookie无法传递，就会触发状态验证失败。
排查点：- 对比Grafana发起的SAML请求URL中的
state值，与Keycloak返回SAML响应时携带的RelayState值是否完全一致； - 检查Grafana与Keycloak的域名是否属于同一主域，或调整Cookie的
SameSite配置为Lax/None（需配合HTTPS），确保跨域场景下Cookie能正常传递。
- 对比Grafana发起的SAML请求URL中的
AWS托管Grafana的RelayState限制未满足
AWS托管版Grafana对RelayState参数有特定要求，比如长度限制或格式规范。若Keycloak返回的RelayState不符合要求，Grafana无法识别对应的SSO状态。
排查点：- 查看AWS Grafana控制台的SAML配置文档，确认RelayState的限制规则；
- 检查RelayState是否被Keycloak修改、截断或添加了额外内容。
SSO跳转过程中会话超时
从Grafana跳转至Keycloak完成认证再返回的耗时，若超过Grafana的会话超时时间，或浏览器清除了Grafana的会话Cookie（如隐私模式、安全策略拦截），Grafana会丢失之前存储的SSO状态。
排查点：- 在AWS Grafana控制台调整会话超时时间（通常在“Authentication”配置项中）；
- 使用普通浏览器模式测试，排除隐私模式的Cookie限制；
- 检查浏览器是否允许Grafana域名的Cookie存储。
Keycloak的ACS URL配置不精确
Keycloak的SAML客户端中配置的Assertion Consumer Service (ACS) URL，必须与Grafana实际的ACS URL（https://<some-grafana-url>/saml/acs）完全一致，包括协议、域名、路径的大小写和末尾是否带斜杠，否则Keycloak可能将响应发送至错误地址，或Grafana拒绝处理来自不匹配ACS的响应。
排查点：- 在Keycloak的SAML客户端配置页面，核对ACS URL与Grafana的ACS地址完全一致；
- 确认Keycloak启用了“Force POST Binding”，确保SAML响应通过POST方式提交到正确的ACS端点。
SAML响应的Audience URI不匹配
Grafana验证SAML响应时，会检查断言中的AudienceRestriction是否与自身的Entity ID一致。若Keycloak配置的Audience URI与Grafana的Entity ID不匹配，Grafana会直接拒绝响应，进而导致状态验证失败。
排查点：- 查看Grafana SAML配置中的“Entity ID”，确认Keycloak的SAML客户端配置中“Valid Redirect URIs”或“Audience Restrictions”包含该值；
- 通过SAML调试工具（如SAML Tracer）查看响应断言中的
Audience字段，确保与Grafana的Entity ID完全一致。
AWS WAF或网络层拦截请求
若AWS托管Grafana前端配置了WAF，WAF的规则可能拦截了携带SAML响应的POST请求（如请求体过大、包含特定字符），导致Grafana无法接收完整的响应内容，无法解析状态信息。
排查点：- 查看AWS WAF的访问日志，确认是否有拦截指向
/saml/acs的请求； - 临时关闭WAF进行测试，验证是否为WAF规则导致的拦截；
- 调整WAF规则，允许SAML响应的POST请求通过（可针对请求路径
/saml/acs设置放行规则）。
- 查看AWS WAF的访问日志，确认是否有拦截指向
SAML响应的签名/加密配置不兼容
即使证书有效，若签名算法不匹配（如Grafana要求SHA-256，Keycloak使用SHA-1），或加密断言的密钥配置错误，Grafana无法正确解析SAML响应内容，进而无法获取状态信息。
排查点：- 在Keycloak的SAML客户端配置中，确认签名算法为Grafana支持的类型（如SHA-256）；
- 若启用了断言加密，检查Grafana配置的私钥是否与Keycloak使用的公钥匹配，确保解密流程正常。
内容的提问来源于stack exchange，提问作者KSingh
