<html>

<head>

<meta http-equiv="Content-Type" content="text/html; charset=utf-8">

</head>

<body style="word-wrap: break-word; -webkit-nbsp-mode: space; -webkit-line-break: after-white-space;" class="">

Your SP is asking for mutually exclusive things. By definition the SP signs the request with their “private” key. The IdP verifies it with the “public” key. An IdP initiated flow is simply done by creating an AuthnRequest for the particular SP. The IdP does

 not have the private key of the SP do that. If the SP were to give you the private key in order to create a signed request, then they have exposed their private key and essentially made the use of the keys a moot point. The key is out in the open.

<div class=""><br class="">

</div>

<div class="">However, I suspect that the signed request is not the problem, but the SP consuming the SAML Response. I don’t think (but I am not positive) that the SAML Response includes any information about whether the request was signed or not. If it does

 not have that information, then the SP is choking on something else.</div>

<div class=""><br class="">

<div>

<blockquote type="cite" class="">

<div class="">On May 28, 2015, at 10:44 AM, Johan Romin <<a href="mailto:johan.romin@egbs.se" class="">johan.romin@egbs.se</a>> wrote:</div>

<br class="Apple-interchange-newline">

<div class="">

<div dir="ltr" style="font-family: 'Sans Serif', Verdana, Arial, Helvetica, sans-serif; font-style: normal; font-variant: normal; font-weight: normal; letter-spacing: normal; line-height: normal; orphans: auto; text-align: start; text-indent: 0px; text-transform: none; white-space: normal; widows: auto; word-spacing: 0px; -webkit-text-stroke-width: 0px;" class="">

That much I understand, still the service provider doesn't want to change their implementation as they see this as a neccesary feature.</div>

<div dir="ltr" style="font-family: 'Sans Serif', Verdana, Arial, Helvetica, sans-serif; font-style: normal; font-variant: normal; font-weight: normal; letter-spacing: normal; line-height: normal; orphans: auto; text-align: start; text-indent: 0px; text-transform: none; white-space: normal; widows: auto; word-spacing: 0px; -webkit-text-stroke-width: 0px;" class="">

I've tried to alter the metadata on our end not to require a signed authn request and that just passes our end but then halts on the service provider end that then cannot validate our message.</div>

<div dir="ltr" style="font-family: 'Sans Serif', Verdana, Arial, Helvetica, sans-serif; font-style: normal; font-variant: normal; font-weight: normal; letter-spacing: normal; line-height: normal; orphans: auto; text-align: start; text-indent: 0px; text-transform: none; white-space: normal; widows: auto; word-spacing: 0px; -webkit-text-stroke-width: 0px;" class="">

Could this be managed by some kind of initation through a local service provider that I setup on the idp that creates the signeds authn request which in turn gets forwarded to the unsolicited sso servlet?</div>

<span style="font-family: 'Sans Serif', Verdana, Arial, Helvetica, sans-serif; font-style: normal; font-variant: normal; font-weight: normal; letter-spacing: normal; line-height: normal; orphans: auto; text-align: start; text-indent: 0px; text-transform: none; white-space: normal; widows: auto; word-spacing: 0px; -webkit-text-stroke-width: 0px;" class=""><br class="Apple-interchange-newline">

</span></div>

</blockquote>

</div>

<br class="">

<div apple-content-edited="true" class="">-----<br class="">

Paul Hethmon<br class="">

Chief Software Architect<br class="">

<a href="mailto:paul.hethmon@clareitysecurity.com" class="">paul.hethmon@clareitysecurity.com</a><br class="">

<br class="">

</div>

<br class="">

</div>

</body>

</html>