Een bedrijf gebruikt een externe identity provider (IdP) met SAML-gebaseerde SSO voor zijn AWS-accounts. Nadat de IdP een verlopen ondertekeningscertificaat heeft vernieuwd, krijgen gebruikers de volgende foutmelding wanneer ze proberen in te loggen: Error: Response Signature Invalid (Service: AWSSecurityTokenService; Status Code: 400; Error Code: InvalidIdentityToken). Een security engineer moet het probleem oplossen en tegelijkertijd de operationele overhead minimaliseren. Welke oplossing voldoet aan deze vereisten?

De foutmelding "Response Signature Invalid" duidt erop dat AWS de digitale handtekening van de SAML-respons niet kan verifiëren, wat meestal komt door een mismatch in het ondertekeningscertificaat. Wanneer de IdP zijn ondertekeningscertificaat vernieuwt, moet AWS (de Service Provider) op de hoogte worden gebracht van dit nieuwe certificaat. De meest efficiënte en gangbare methode hiervoor is het bijwerken van de IAM Identity Provider-entiteit met het nieuwe SAML-metadata-bestand van de IdP. Dit bestand bevat alle benodigde informatie, inclusief het nieuwe publieke ondertekeningscertificaat. De andere opties zijn incorrect: Het uploaden van de privésleutel is onjuist en een beveiligingsrisico; AWS heeft alleen het publieke certificaat nodig. Het ondertekenen van het metadata-bestand met de nieuwe publieke sleutel en het uploaden van de handtekening is geen standaardprocedure voor het bijwerken van IdP-certificaten in AWS IAM. AWS kan niet automatisch de nieuwe publieke sleutel van de IdP ophalen; dit moet handmatig worden bijgewerkt via het metadata-bestand.