Une entreprise utilise un fournisseur d'identité tiers (IdP) avec l'authentification unique (SSO) basée sur SAML pour ses comptes AWS. Après que l'IdP a renouvelé un certificat de signature expiré, les utilisateurs reçoivent l'erreur suivante lorsqu'ils tentent de se connecter : Error: Response Signature Invalid (Service: AWSSecurityTokenService; Status Code: 400; Error Code: InvalidIdentityToken). Un ingénieur de sécurité doit résoudre le problème tout en minimisant la charge opérationnelle. Quelle solution répond à ces exigences ?

L'erreur "Response Signature Invalid" indique que la signature SAML de l'IdP n'est plus vérifiable par AWS. Cela se produit généralement lorsque le certificat de signature de l'IdP a été renouvelé, mais qu'AWS n'a pas la nouvelle clé publique correspondante. La solution consiste à mettre à jour l'entité de fournisseur d'identité (IdP) IAM dans AWS avec les nouvelles métadonnées SAML de l'IdP tiers, qui contiennent le certificat public mis à jour. L'utilisation de l'AWS CLI pour cette mise à jour est une méthode efficace et courante. Les autres options sont incorrectes car : Télécharger la clé privée n'est pas nécessaire et serait une faille de sécurité. AWS a besoin de la clé publique pour la vérification, pas de la clé privée. Signer le fichier de métadonnées avec la nouvelle clé publique n'est pas la procédure standard ; c'est l'IdP qui signe les assertions, et AWS a besoin de son certificat public pour vérifier ces signatures. Configurer l'entité IdP IAM pour récupérer de manière synchrone la clé publique n'est pas une fonctionnalité standard d'IAM pour les IdP SAML. La mise à jour manuelle ou via un script des métadonnées est la méthode établie.