Компания использует сторонний поставщик удостоверений (IdP) с SSO на основе SAML для своих аккаунтов AWS. После того как IdP обновил просроченный сертификат подписи, пользователи получают следующую ошибку при попытке входа: Error: Response Signature Invalid (Service: AWSSecurityTokenService; Status Code: 400; Error Code: InvalidIdentityToken). Инженер по безопасности должен решить эту проблему, минимизируя операционные издержки. Какое решение соответствует этим требованиям?

Ошибка "Response Signature Invalid" указывает на то, что AWS не может проверить подпись SAML-ответа от IdP. Это происходит, когда сертификат подписи IdP обновляется, но AWS не знает о новом открытом ключе. Обновление сущности поставщика удостоверений IAM с помощью нового файла метаданных SAML, предоставленного IdP, является правильным решением. Этот файл содержит новый открытый ключ, который AWS будет использовать для проверки подписей. Использование AWS CLI для этого является эффективным и автоматизируемым способом. Неправильные варианты: Загрузка закрытого ключа неверна, так как закрытый ключ должен оставаться у IdP. AWS требуется только открытый ключ для проверки подписи. Подписание файла метаданных новым открытым ключом не является стандартной процедурой и не решит проблему проверки подписи. IAM IdP не поддерживает синхронную выборку нового открытого ключа; обновление должно быть выполнено вручную или через автоматизацию.