コメントはまだありません正直、とても希な事象と思います。書いておかないと忘れそうなので残しておきます。ADの自分のテナントにいるユーザと、外部招待したユーザのメールアドレスの@マークよりも前が全く一緒の文字列だった。そのためSCIMのExternalID属性が重複してしまってユーザ作成がエラーになって止まってしまう。SSO連携を設定している。SSOに連携しようとすると、片方が重複しているユーザ扱いになって登録に失敗する。ADのエンタープライズアプリケーションからプロビジョニングの編集を行う。Users」のリンクに移動。属性マッピングの画面になるので、下の方に言ってExternalIdのマッピング属性を編集する。(メールアドレス全体)に変更する。※ExternalIDとして重複しないものであれば他の文字列を持つ属性でも良さそうです。後はプロビジョニングし直すだけ。SSO連携の話は↓の記事を見てください。Unitを組んでいる人も少ないとは思いますが......。会社組織などでAWSアカウントを、Aシステム用本番+検証、BシステムのPoC用......等と分けて手配されているところは多いと思います。アカウント分けて作った方がIAMロールとか請求書とか何かと分けて管理した方が楽だったりしますし。SSOを使ってこんな感じで管理すると便利になるので、やり方をご紹介。AD上にもエンタープライズアプリケーションとして登録されるのでMyAppsにも表示されるようになります。SSOの自動プロビジョニングを設定したいので独自アプリを選択します。エンタープライズアプリケーションとして作成されたら、この画面は後で使うので閉じずにおいておきます。SSOを検索して「有効化」する。us-west-2)で有効化しました。ADのエンタープライズアプリケーションとして連携させるためのSAMLメタデータをダウンロードしておきます。後でIDプロバイダーのメタデータ設定するのでこの画面は閉じずにおいておきます。シングルサインオンの設定」を実施します。シングルサインオン方式としてSAMLを選択します。SSO管理画面でダウンロードしたSAMLメタデータをアップロードします。メタデータの読み込みに成功すると、自動的に識別子や応答URLが設定されます。基本的なSAML構成を保存して、SAML署名証明書のところからフェデレーションメタデータXMLをダウンロードします。SAMLメタデータに先ほどAzure上でダウンロードしたフェデレーションメタデータXMLをアップロードします。次に、設定からSCIMの自動プロビジョニングを有効化します。この画面キャプチャは既に有効化した後に取ってしまった......自動プロビジョニング(SCIM)の画面からSCIMエンドポイント、アクセストークンを取得します。SSOに対する自動プロビジョニングの設定エンタープライズアプリケーション画面の左ペインから「プロビジョニング」を選択し、「作業の開始」を実施します。SSO管理画面で取得した、“SCIMエンドポイント”を”テナントのURL”に、”アクセストークン”を”シークレットトークン”にそれぞれ貼り付けます。貼り付けたら「テスト接続」を押して、”指定した資格情報にはプロビジョニングを有効にする権限があります”と表示されることを確認します。自動プロビジョニングの設定が終わったので保存しておきます。SSO画面にアクセスさせたいユーザやグループを選択して追加します。ADのユーザが自動的に連携されるようになります。AWSアカウントへのアクセス設定を行うこの辺は直感的な画面なので割愛。SSOのユーザポータルURLを、別なブラウザでアクセスすれば冒頭で上げたように複数のAWSアカウントの一覧が表示される。SSOの設定画面と、実際にSSOアクセスを試すブラウザはシークレットーモードなりFirefox/Chrome/Edge等で分離した方が、クッキーやセッションが混じるトラブルを回避できる。