ある企業がSSOにAWS Identity and Access Management (IAM) とSAMLフェデレーションを使用しています。IDプロバイダーの証明書がローテーションされ、ユーザーは「Error: Response Signature Invalid (Service: AWSSecurityTokenService; Status Code: 400; Error Code: InvalidIdentityToken)」というエラーを受け取るようになりました。セキュリティエンジニアは、差し迫った問題を修正し、再発を防ぐ必要があります。エンジニアはどのようなアクションを取るべきですか？（2つ選択してください。）

「Error: Response Signature Invalid」は、SAML署名証明書の不一致を示しています。即座の修正として、IDプロバイダーから更新されたSAMLメタデータをダウンロードし、既存のIAM IDプロバイダーにアップロードすることで、AWSが新しい署名証明書を認識し、ユーザーが再度認証できるようになります。これは、失効した証明書を新しい証明書に置き換える直接的な方法です。再発防止策としては、次回の証明書ローテーション時に、現在の証明書の有効期限が切れる前に、新しい証明書をIDプロバイダーのセカンダリとして追加し、更新されたメタデータを既存のIAM IDプロバイダーにアップロードすることが重要です。これにより、ダウンタイムなしで証明書を切り替えることが可能になります。新しいIAM IDプロバイダーを作成する必要はなく、既存のリソースを更新するだけで済みます。