Una empresa utiliza un proveedor de identidad (IdP) de terceros con SSO basado en SAML para sus cuentas de AWS. Después de que el IdP renovara un certificado de firma caducado, los usuarios reciben el siguiente error al intentar iniciar sesión: Error: Response Signature Invalid (Service: AWSSecurityTokenService; Status Code: 400; Error Code: InvalidIdentityToken). Un ingeniero de seguridad debe resolver el problema minimizando la sobrecarga operativa. ¿Qué solución cumple estos requisitos?

Cuando un certificado de firma SAML caduca y se renueva, el proveedor de identidad (IdP) genera un nuevo certificado. Este nuevo certificado debe ser reconocido por AWS para que la autenticación SSO funcione correctamente. La solución más eficiente y con menor sobrecarga operativa es descargar el archivo de metadatos SAML actualizado del IdP, que contiene el nuevo certificado público, y luego actualizar la entidad del proveedor de identidad en AWS IAM con este archivo. Esto se puede hacer fácilmente a través de la AWS CLI, lo que minimiza la intervención manual. Las opciones incorrectas son: Cargar la nueva clave privada es incorrecto porque AWS solo necesita la clave pública del certificado de firma para verificar la autenticidad de las aserciones SAML. Firmar el archivo de metadatos con la nueva clave pública no es el procedimiento estándar; el archivo de metadatos ya es proporcionado por el IdP y contiene la información necesaria. Configurar la entidad de IAM para obtener sincrónicamente la clave pública no es una funcionalidad estándar para la integración de IdP SAML en AWS IAM.