Thank you Scott and Michael for your replies.<br/>
<br/>
By setting JVM option -XX:+UseGetTimeOfDay, we were able to resolve java clock drift issue. That resolved NotBefore timestamp validation at SP for now.<br/> Since both clocks are synced to GPS clocks, we are hoping this issue will not crop up again.<br/>
<br/>
After experiencing this issue, our customer is concerned about this happening again. <br/>
As Scott mentioned in his reply, we are trying to convince our customer that we cannot do anything at IdP and it is SPs responsibility. <br/>
<br/>
SAML spec approved errata clearly says it is the responsibility of relying party(SP) to apply skew while validating timestamp.<br/>
<br/>
(below approved errata, item E92 details for ref)<br/>
http://docs.oasis-open.org/security/saml/v2.0/sstc-saml-approved-errata-2.0.pdf<br/>
<br/>
<div style="display:block-inline;padding-left:30px;">
<i><strong>E92: Add guidance for implementers on clock skew</strong><br/>
<br/><font color="#999999">Add text to [SAMLCore] after line 314:<br/>
New:</font><br/>
<br/>SAML system entities SHOULD allow for reasonable clock skew between systems when interpreting time
instants and enforcing security policies based on them. Tolerances of 3-5 minutes are reasonable defaults,
but allowing for configurability is a suggested practice in implementations.<br/>
<br/><font color="#999999">Add text to [SAMLCore] after line 759:<br/>
New:</font><br/>
<br/>As noted in section 1.3.3, relying parties SHOULD allow for reasonable clock skew in the interpretation of
both values.<br/>
<br/><font color="#999999">Add text to [SAMLCore] after line 887:<br/>
New:</font><br/>
<br/>As noted in section 1.3.3, relying parties SHOULD allow for reasonable clock skew in the interpretation of
both values.<br/>
<br/><font color="#999999">Add text to [SAMLCore] after line 2538:<br/>
New:</font><br/>
<br/>As noted in that same section, relying parties SHOULD allow for reasonable clock skew in the interpretation
of this value.</i></div>

        
        
        
<br/><hr align="left" width="300" />
View this message in context: <a href="http://shibboleth.1660669.n2.nabble.com/NotBefore-condition-in-assertions-tp7582535p7610059.html">Re: NotBefore condition in assertions</a><br/>
Sent from the <a href="http://shibboleth.1660669.n2.nabble.com/Shibboleth-Users-f1660767.html">Shibboleth - Users mailing list archive</a> at Nabble.com.<br/>