エラーメッセージ Invalid query param signature は、KeycloakがCognitoからのSAMLリクエストの署名を検証できなかったことを示しています。このエラーが発生する主な原因として、CognitoとKeycloakの間で使用されている署名に関する設定が一致していない可能性があります。

検証と修正手順

1. KeycloakのSAML設定

1. Keycloak管理コンソールにログインします。

2. 左側のメニューからClientsを選択し、Cognito用のクライアントを選択します。

3. Settingsタブを開き、次の設定を確認します。

   • Sign documents がオンになっていること。
   • Sign assertions がオンになっていること。
   • Signature algorithm が RSA_SHA256 になっていること。

4. SAML Keys セクションで、正しい証明書が設定されていることを確認します。

2. Keycloakの公開鍵のエクスポート

1. Keycloak管理コンソールで、Clientsを選択し、Cognito用のクライアントを選択します。
2. Keysタブを開きます。
3. Certificateセクションから、公開鍵をエクスポートします。

3. Cognitoの設定確認

1. AWS管理コンソールにログインします。
2. Cognitoサービスを選択し、設定したユーザープールを選択します。
3. 左側のメニューからIdentity Providersを選択し、SAML IdPの設定を編集します。
4. Keycloakの公開鍵が正しく設定されていることを確認します。

4. リクエストURLの確認

以下のURLが正しく構成されていることを確認します。特に、クエリパラメータが正しくエンコードされていることを確認します。

詳細な手順

Keycloakでの設定確認

1. Keycloak管理コンソールにログイン。
2. 左側のメニューからClientsを選択し、Cognito用のクライアントを選択。
3. Settingsタブを開く。
4. Signature and Encryptionセクションで、次の設定を確認：
   • Sign documents がオン。
   • Sign assertions をオンに切り替える。
   • Signature algorithm が RSA_SHA256 になっている。
   • SAML signature key name を適切なキーに設定する。

Keycloakの公開鍵のエクスポート

1. Keycloak管理コンソールで、Clientsを選択し、Cognito用のクライアントを選択。
2. Keysタブを開く。
3. Certificateセクションから、公開鍵をエクスポートする。

エクスポート例（公開鍵の形式を確認）：

-----BEGIN CERTIFICATE-----
....
-----END CERTIFICATE-----

Cognitoの設定確認

1. AWS管理コンソールにログイン。
2. Cognito > 該当ユーザープール > Identity Providers で、SAML IdPの設定を編集。
3. Keycloakの公開鍵が正しく設定されていることを確認。

ログの再確認

KeycloakとCognitoのログを再度確認し、具体的なエラーメッセージを探します。

Keycloakのログ確認

1. コンテナ内にシェルアクセス：

   docker exec -it xxxxxx /bin/bash
   

2. ログファイルの場所を検索：

   find / -name "*.log"
   

3. ログファイルの内容を表示：

   tail -f /path/to/your/keycloak/log/file.log
   

まとめ

• Sign assertions をオンにする。
• SAML signature key name を適切なキーに設定する。
• Keycloakの公開鍵がCognitoに正しく設定されていることを確認する。
• Keycloakのログを再確認し、具体的なエラーメッセージを探す。

これらの設定を確認および修正した後、再度認証フローを試してみてください。問題が解決するはずです。