Компания использует федерацию SAML с AWS Identity and Access Management (IAM) для SSO. Сертификат поставщика удостоверений был обновлен, и теперь пользователи получают ошибку: «Error: Response Signature Invalid (Service: AWSSecurityTokenService; Status Code: 400; Error Code: InvalidIdentityToken)». Инженер по безопасности должен немедленно устранить проблему и предотвратить ее повторение. Какие действия должен предпринять инженер? (Выберите два.)

Ошибка «Response Signature Invalid» указывает на то, что AWS IAM не может проверить подпись SAML-ответа, потому что сертификат поставщика удостоверений (IdP) был обновлен, но AWS IAM все еще использует старый сертификат. Первое правильное действие — это немедленное устранение проблемы: загрузить обновленные метаданные SAML от поставщика удостоверений и загрузить их в существующий поставщик удостоверений IAM. Это обновит сертификат, используемый IAM, и позволит успешно проверять подписи. Второе правильное действие — это предотвращение повторения проблемы: во время следующей ротации сертификата, до истечения срока действия текущего, следует добавить новый сертификат в качестве вторичного у IdP, сгенерировать обновленные метаданные и загрузить их в существующий поставщик удостоверений IAM. Это позволяет IAM использовать новый сертификат, пока старый еще действителен, обеспечивая плавный переход. Неправильные варианты предлагают создание нового поставщика удостоверений IAM, что является излишним и усложняет управление. Также неверно обновлять конфигурацию поставщика удостоверений для передачи нового имени, так как это не решает проблему с сертификатом.