한 회사에서 AWS 계정에 SAML 기반 SSO를 사용하는 타사 자격 증명 공급자(IdP)를 사용합니다. IdP가 만료된 서명 인증서를 갱신한 후 사용자가 로그인하려고 할 때 다음 오류가 발생합니다. Error: Response Signature Invalid (Service: AWSSecurityTokenService; Status Code: 400; Error Code: InvalidIdentityToken). 보안 엔지니어는 운영 오버헤드를 최소화하면서 이 문제를 해결해야 합니다. 다음 해결책 중 이러한 요구 사항을 충족하는 것은 무엇입니까?

이 오류는 IdP의 서명 인증서가 AWS IAM에 구성된 인증서와 일치하지 않을 때 발생합니다. IdP가 인증서를 갱신하면 AWS IAM에 있는 해당 IdP의 SAML 메타데이터도 업데이트해야 합니다. 업데이트된 SAML 메타데이터 파일에는 새 퍼블릭 키가 포함되어 있습니다. AWS CLI를 사용하여 이 파일을 IAM 자격 증명 공급자 엔터티에 업로드하면 운영 오버헤드를 최소화하면서 문제를 해결할 수 있습니다. 첫 번째 옵션은 프라이빗 키를 업로드하는 잘못된 절차이며, 퍼블릭 키를 사용해야 합니다. 두 번째 옵션은 메타데이터 파일 자체를 새 퍼블릭 키로 서명하는 것이 아니라, 메타데이터 파일에 새 퍼블릭 키가 포함되어야 합니다. 네 번째 옵션은 AWS가 IdP의 메타데이터를 동기적으로 가져오는 기능을 제공하지 않으므로 불가능합니다.