AWS SSO自定义应用SAML认证调用AssumeRoleWithSAML报错如何解决

第一次报错：Invalid base64 SAMLResponse #

根因为配置的属性映射规则存在异常，导致AWS SSO生成SAML响应时，内部的断言XML结构被特殊字符破坏，最终输出的base64编码串包含非法字符，STS服务无法完成正常的base64解码就抛出该错误。你调整属性映射后修复了断言XML的合法性，base64串恢复合规，因此该报错消失。

第二次报错：Issuer not present in specified provider #

根因为调用AssumeRoleWithSAML接口时使用的IAM身份提供商（IdP）配置，与SAML响应中的Issuer字段不匹配。你最初调用接口时使用的是AWS SSO默认生成的账户身份提供商，该提供商的Issuer值为AWS IAM身份中心的全局统一格式，而你在AWS SSO中创建的自定义应用生成的SAML响应，Issuer是和该自定义应用绑定的专属值，二者不一致导致STS校验失败。你后续新建IAM身份提供商时上传了自定义应用的元数据，元数据中已经包含了该应用对应的正确Issuer值，因此校验通过。

• 若核心需求是为用户分配AWS资源访问权限，优先使用AWS SSO内置的AWS账户权限配置能力：直接在AWS SSO控制台为用户/用户组关联对应AWS账户的权限集即可，无需自定义开发SAML应用和调用STS接口，是官方推荐的最简方案。
• 若确实需要自定义SAML应用实现授权，按以下标准流程配置可避免同类问题：
  1. AWS SSO控制台创建自定义SAML应用后，第一时间下载该应用的专属SAML元数据文件
  2. 前往IAM控制台新建SAML身份提供商，直接上传上一步下载的元数据文件，无需手动修改Issuer、证书等参数，确保配置和自定义应用生成的SAML响应完全匹配
  3. 配置自定义应用的属性映射时，避免使用包含XML特殊字符（< > & ' "）的属性值，优先选择AWS SSO内置的标准用户属性，自定义属性值提前做好转义处理
  4. 后端服务接收ACS回调的SAML响应时，先对SAMLResponse参数做URL解码，再将解码后的base64串传给AssumeRoleWithSAML接口，避免编码问题导致base64非法报错
  5. 调用STS接口时传入的PrincipalArn参数，必须为第二步新建的IAM身份提供商的ARN，不要使用AWS SSO默认生成的身份提供商ARN

内容的提问来源于stack exchange，提问作者Marko Eskola