AWS AD联邦登录遇AuthSamlInvalidSamlResponseException 400错误

错误具体含义 #

你遇到的报错是AWS STS服务在处理联邦登录请求时的参数校验失败错误，400状态码代表请求本身不符合服务端要求，错误码明确说明请求中携带的SAMLResponse字段不是合法的Base64编码内容，无法被服务端解码解析，因此无法完成身份校验和角色授权。

报错原文：

ERROR: error logging into role&{arn:aws:iam::111111111111:role/myrole arn:aws:iam::111111111111:saml-provider/MyCompanyPingID }: error retrieving STS credentials using SAML: InvalidIdentityToken: Invalid base64 SAMLResponse (Service: AWSOpenIdDiscoveryService; Status Code: 400; Error Code: AuthSamlInvalidSamlResponseException; Request ID: 11111111-1111-1111-1111-111111111111; Proxy: null) status code: 400, request id: 22222222-2222-2222-2222-222222222222

触发原因说明 #

你的初步判断存在偏差：同团队其他成员可以正常登录，说明arn:aws:iam::111111111111:saml-provider/MyCompanyPingID身份提供商的全局配置正常，不存在整体响应未做Base64编码的问题，问题仅出在你个人账号对应的登录链路中，可能的原因如下：

• 你的AD账号的身份属性存在特殊字符（比如姓名、邮箱字段包含非ASCII特殊符号、空格、换行符等），IDP为你生成SAML断言时，特殊字符破坏了断言的XML结构，最终生成的Base64编码内容不符合规范
• 你使用的登录工具（CLI客户端、自定义登录脚本、浏览器登录插件）在获取SAMLResponse后，额外做了多余的URL编解码、特殊字符转义、内容截断操作，导致送到AWS端的内容已经不是完整的合法Base64字符串
• IDP侧针对你账号的角色权限映射配置异常，生成的SAML断言缺失必填字段，本身不完整，编码后结构异常
• 你本地环境的代理、防火墙、VPN配置篡改了SAML请求内容，将SAMLResponse的部分字符替换、截断，导致编码失效

是否属于编码错误 #

该错误的直接表现是SAMLResponse编码不符合要求，但本质上不是IDP的全局编码逻辑错误，而是你的账号专属配置、本地登录环节的异常导致编码后的内容被破坏。

排查方案 #

• 优先在浏览器无痕模式下走Web端联邦登录流程，排除本地缓存、浏览器插件干扰，如果Web端可以正常登录，即可确认是你本地使用的CLI/自定义登录脚本的处理逻辑存在问题
• 将你登录请求中携带的SAMLResponse内容复制出来，用本地Base64解码工具做校验，如果解码失败即可确认是SAMLResponse本身格式异常
• 对比同团队正常用户的SAMLResponse长度，如果你的响应内容长度明显偏短，说明IDP返回的断言本身不完整，需要联系内部AD/IDP运维人员核对你账号的属性配置、角色映射规则

内容的提问来源于stack exchange，提问作者sashoalm