Une entreprise utilise la fédération SAML avec AWS Identity and Access Management (IAM) pour le SSO. Le certificat du fournisseur d'identité a été renouvelé, et les utilisateurs reçoivent maintenant l'erreur : « Error: Response Signature Invalid (Service: AWSSecurityTokenService; Status Code: 400; Error Code: InvalidIdentityToken) ». Un ingénieur en sécurité doit résoudre le problème immédiat et empêcher sa récurrence. Quelles actions l'ingénieur doit-il entreprendre ? (Choisissez-en deux.)

L'erreur "Response Signature Invalid" indique que le certificat de signature SAML du fournisseur d'identité (IdP) ne correspond plus à celui enregistré dans AWS IAM. Pour résoudre le problème immédiat, l'ingénieur doit télécharger les métadonnées SAML mises à jour de l'IdP, qui contiennent le nouveau certificat, et les télécharger vers le fournisseur d'identité IAM existant. Cela mettra à jour le certificat de confiance dans AWS. Pour éviter la récurrence, lors de la prochaine rotation de certificat, l'ingénieur doit ajouter le nouveau certificat en tant que certificat secondaire sur l'IdP avant l'expiration de l'ancien. Ensuite, il doit générer des métadonnées mises à jour (qui incluront les deux certificats) et les télécharger vers le fournisseur d'identité IAM existant. Cela permet à AWS de faire confiance aux deux certificats pendant la période de transition, facilitant un basculement en douceur sans interruption de service. Créer un nouveau fournisseur d'identité IAM inutilement compliquerait la gestion et nécessiterait des modifications supplémentaires.