
<html>

  <head>

    <meta content="text/html; charset=windows-1252"

      http-equiv="Content-Type">

  </head>

  <body bgcolor="#FFFFFF" text="#000000">

    <br>

    <div class="moz-cite-prefix">On 1/30/15 1:04 AM, Brent Putman wrote:<br>

    </div>

    <blockquote cite="mid:54CB1F06.3010906@georgetown.edu" type="cite">

      <meta content="text/html; charset=windows-1252"

        http-equiv="Content-Type">

      <br>

      But yes, I believe we can do this.  I'll think about changing the

      defaults on that, for the future. In the meantime, you can have

      control over the global security config via the Spring extension

      bean mentioned here:<br>

      <br>

      <a moz-do-not-send="true" class="moz-txt-link-freetext"

href="https://wiki.shibboleth.net/confluence/display/SHIB2/Changing+IdP+Signature+Method+Algorithm">https://wiki.shibboleth.net/confluence/display/SHIB2/Changing+IdP+Signature+Method+Algorithm</a><br>

      <br>

      That page is specifically about configuring SHA-256 signatures,

      and doesn't mention the KeyInfo generation stuff that you need,

      but the same extension class (Spring FactoryBean) does support

      this.  It's a bit late here, but tomorrow I will come up with the

      Spring bean wiring config that you'll need, and post it back here

      and/or on the wiki. <br>

    </blockquote>

    <br>

    With all the caveats that Scott already mentioned (do you really

    want to do this...), the way to get the credential's intermediate

    certs emitted in the KeyInfo is:<br>

    <br>

    1) install the extension jar as documented in the above wiki page,

    and the extension's doc/INSTALL.txt.<br>

    <br>

    2) But ignore all the stuff about configuring signatures for

    SHA-256.  Instead use a config snippet in internal.xml like the

    attached.<br>

    <br>

    <br>

    Let me know if this doesn't work.<br>

    <br>

    --Brent<br>

    <br>

    <br>

    <br>

  </body>

</html>