Ein Unternehmen nutzt einen externen Identitätsanbieter (IdP) mit SAML-basiertem SSO für seine AWS-Konten. Nachdem der IdP ein abgelaufenes Signaturzertifikat erneuert hat, erhalten Benutzer beim Anmeldeversuch die folgende Fehlermeldung: Error: Response Signature Invalid (Service: AWSSecurityTokenService; Status Code: 400; Error Code: InvalidIdentityToken). Ein Sicherheitsingenieur muss das Problem beheben und dabei den Betriebsaufwand minimieren. Welche Lösung erfüllt diese Anforderungen?

Die Fehlermeldung "Response Signature Invalid" weist darauf hin, dass AWS die Signatur der SAML-Antwort des IdP nicht verifizieren kann. Dies geschieht, wenn das Signaturzertifikat des IdP erneuert wurde, aber AWS noch das alte Zertifikat erwartet. Die SAML-Metadatendatei des IdP enthält das öffentliche Signaturzertifikat. Durch das Herunterladen der aktualisierten Metadatendatei und das Aktualisieren der IAM-Identitätsanbieter-Entität mit dieser Datei wird AWS das neue öffentliche Zertifikat bereitgestellt, wodurch die SAML-Signaturen wieder validiert werden können. Dies ist die effizienteste Methode, da sie den gesamten Zertifikatsaustausch in einem Schritt aktualisiert. Das Hochladen des privaten Schlüssels (Option 1) ist falsch, da private Schlüssel niemals geteilt oder hochgeladen werden sollten; nur der öffentliche Schlüssel ist für die Verifizierung notwendig. Das Signieren der Metadatendatei mit dem neuen öffentlichen Schlüssel (Option 2) ist ebenfalls falsch, da die Metadatendatei selbst nicht signiert werden muss, sondern das darin enthaltene Zertifikat für die Signatur der SAML-Antworten verwendet wird. Die Option, den öffentlichen Schlüssel synchron abzurufen (Option 4), ist keine Standardfunktion von AWS IAM für SAML-Identitätsanbieter und würde eine manuelle Konfiguration erfordern, die über den Betriebsaufwand hinausgeht.