Ein Unternehmen verwendet SAML-Föderation mit AWS Identity and Access Management (IAM) für SSO. Das Zertifikat des Identitätsanbieters wurde rotiert, und Benutzer erhalten nun den Fehler: „Error: Response Signature Invalid (Service: AWSSecurityTokenService; Status Code: 400; Error Code: InvalidIdentityToken).“ Ein Sicherheitsingenieur muss das unmittelbare Problem beheben und ein Wiederauftreten verhindern. Welche Maßnahmen sollte der Ingenieur ergreifen? (Wählen Sie zwei.)

Die Fehlermeldung "Response Signature Invalid" weist darauf hin, dass AWS die Signatur des SAML-Antworttokens nicht validieren kann, weil das Zertifikat des Identitätsanbieters (IdP) nicht mit dem in AWS IAM konfigurierten Zertifikat übereinstimmt. Um das unmittelbare Problem zu beheben, müssen die aktualisierten SAML-Metadaten, die das neue IdP-Zertifikat enthalten, vom IdP heruntergeladen und in den bestehenden IAM-Identitätsanbieter hochgeladen werden. Dies synchronisiert das Zertifikat in AWS mit dem neuen Zertifikat des IdP und löst den Validierungsfehler. Um ein Wiederauftreten zu verhindern, sollte bei der nächsten Zertifikatsrotation das neue Zertifikat als sekundäres Zertifikat zum IdP hinzugefügt werden, bevor das alte abläuft. Anschließend werden aktualisierte Metadaten generiert und in den bestehenden IAM-Identitätsanbieter hochgeladen. Dies ermöglicht einen reibungslosen Übergang und vermeidet Ausfallzeiten, da AWS beide Zertifikate für die Validierung akzeptieren kann, bis das alte Zertifikat vollständig entfernt wird. Das Erstellen einer neuen IAM-Identitätsanbieterressource ist nicht notwendig und würde zusätzliche Konfigurationsarbeit erfordern.