Azure AD与AWS Cognito SSO测试报错：RelayState参数缺失求助

你碰到的这个Required String parameter 'RelayState' is not present报错，核心原因基本是Azure AD和Cognito的SAML集成里没正确传递RelayState这个必要参数，或者Cognito端的配置没接住这个参数。结合你说的“无效用户提示正常”的情况，说明用户分配和角色映射是没问题的，重点查这几个配置点：

1. 检查Azure AD企业应用的SAML声明配置 #

在Azure AD的目标企业应用里，得确保RelayState参数被正确声明并传递：

• 进入企业应用的「单一登录」>「SAML」页面
• 找到「用户属性与声明」，添加一个自定义声明：
  • 名称填RelayState
  • 源属性可以选appid（对应Azure应用ID），或者直接填你期望登录后跳转的目标URL（比如你的应用前端地址）
• 另外确认「登录URL」填的是Cognito的SAML响应端点，格式是https://<你的用户池域名>/saml2/idpresponse，这个地址是Cognito接收SAML响应的入口

2. 验证Cognito用户池客户端的回调URL #

Cognito这边得确保客户端的回调地址配置正确，不然就算收到RelayState也不知道跳去哪：

• 打开AWS Cognito控制台，进入你的用户池，转到「应用集成」>「应用客户端」
• 检查「允许的回调URL」里，有没有包含你要跳转的目标页面（比如你的应用域名）
• 同时确认「启用标识提供者」里已经勾选了你配置的Azure AD SAML身份提供者

3. 用浏览器工具检查SAML请求参数 #

发起登录流程后，用浏览器的开发者工具（Network标签）抓包看看：

• 看跳转去Azure AD登录页面的请求URL里，有没有带RelayState参数
• 如果没有这个参数，说明Azure AD的配置没生成它，回到第一步重新检查自定义声明的设置

4. 确认Cognito的SAML身份提供者元数据 #

有时候元数据过期或者导入错误也会导致参数传递异常：

• 去Cognito的「身份提供者」页面，找到你配置的Azure AD SAML提供者
• 重新导入Azure AD的最新元数据XML（可以从Azure AD企业应用的SAML配置里下载），确保所有属性映射都正确

按这几步逐一排查，应该就能解决RelayState缺失的问题了。

内容的提问来源于stack exchange，提问作者Harish