<div dir="ltr">We&#39;re using Canvas.  The cert they&#39;re using expires on 4/22, and they&#39;ve sent us a new cert.  They do not publish metadata - we&#39;ve got a local copy.<div><br></div><div>I&#39;m trying to get key rollover working.  I remember the InCommon federation migrated from one fed signing cert to another.  This doc suggests it should be possible for the SP too <a href="https://wiki.shibboleth.net/confluence/display/SHIB2/NativeSPMultipleCredentials">https://wiki.shibboleth.net/confluence/display/SHIB2/NativeSPMultipleCredentials</a></div><div><br></div><div>Ideally the metadata would contain both the new and old certs so we don&#39;t need to coordinate a real-time roll over. The metadata already has separate configuration for the signing and encryption keys (although they are both the same certificate).</div><div><br></div><div>Since the metadata is on the IdP (and not a Shib SP), I&#39;ve not been able to follow the wiki instructions exactly:</div><div><br></div><div><div>&lt;CredentialResolver type=&quot;Chaining&quot;&gt;</div><div>     &lt;CredentialResolver type=&quot;File&quot; key=&quot;new-key.pem&quot; certificate=&quot;new-cert.pem&quot; use=&quot;encryption&quot;/&gt;</div><div>     &lt;CredentialResolver type=&quot;File&quot; key=&quot;sp-key.pem&quot; certificate=&quot;sp-cert.pem&quot;/&gt;</div><div>&lt;/CredentialResolver&gt;</div></div><div><br></div><div>The metadata should work for a beta site as well as production, but I can only get encryption working for one SP or the other, not both.  I&#39;ve tried a number of things in the SP metadata (rough representations)...<br></div><div><br></div><div>&lt;KeyDescriptor use=&quot;encryption&quot;&gt;new cert&lt;/KeyDescriptor&gt;</div><div><div>&lt;KeyDescriptor use=&quot;encryption&quot;&gt;old cert&lt;/KeyDescriptor&gt;</div></div><div><div>&lt;KeyDescriptor use=&quot;signing&quot;&gt;new cert&lt;/KeyDescriptor&gt;</div></div><div><div><div></div></div><div>&lt;KeyDescriptor use=&quot;signing&quot;&gt;old cert&lt;/KeyDescriptor&gt;</div></div><div><div><br></div><div><div><div>&lt;KeyDescriptor use=&quot;encryption&quot;&gt;new cert&lt;/KeyDescriptor&gt;</div></div><div><div></div></div><div><div>&lt;KeyDescriptor&gt;old cert&lt;/KeyDescriptor&gt;</div></div><div><br></div><div><div>&lt;KeyDescriptor&gt;</div><div>new cert</div><div>old cert</div><div>&lt;/KeyDescriptor&gt;</div></div><div><br></div><div>...and the reverse of all of them (i.e. old cert, new cert)</div><div><br></div><div>Any suggestions?  Rollover suggest to me that they certs should be able to co-exist..</div><div><br></div><div>Liam</div><div><br></div><div><br></div><div><div></div></div></div><div></div></div></div>