<html>

<head>

<meta http-equiv="Content-Type" content="text/html; charset=utf-8">

</head>

<body>

<div>Ok, in that case I'll try and do as you suggested.</div>

<div><br>

</div>

<div>All that said, for onboarding new SPs outside of InCommon, can I safely hand them metadata with only SAML2 support outlined, assuming they support it? Or would you consider it advisable to publish the same metadata to all?</div>

<div><br>

</div>

<div>Brandon</div>

<div><br>

</div>

<div>On Wed, 2015-07-22 at 15:59 +0000, Cantor, Scott wrote:</div>

<blockquote type="cite">

<pre>On 7/22/15, 11:57 AM, "users on behalf of Peter Schober" <<a href="mailto:users-bounces@shibboleth.net">users-bounces@shibboleth.net</a> on behalf of <a href="mailto:peter.schober@univie.ac.at">peter.schober@univie.ac.at</a>> wrote:

<blockquote type="cite">

* McKean, Brandon Scott - mckeanbs <<a href="mailto:mckeanbs@jmu.edu">mckeanbs@jmu.edu</a>> [2015-07-22 17:45]:

<blockquote type="cite">

Maybe I simply don't understand, but why would there be any breakage

at all if SAML1 support is still listed in metadata alongside SAML2

support? Does it go back to SP side implementation issues? I

suspected SP software would just use what it could from that and

things would go smoothly, but I also may be giving it too much

credit.

</blockquote>

E.g. lesser software may not be expecting attribute names to change

on-the-wire from SAML1 to SAML2, but your Shib IDP will happily use

the SAML2 convention (or specification, for MACE-Dir defined

attributes, i.e., eduPerson) if the SP choses to now send a SAML2

request to your IDP if it detects the "new" SAML2 support in your

IDP's metadata.

</blockquote>

Yes, that's the most common problem one will run into. There are other edge cases that come up involving XML Encryption and probably a couple others I could come up with if I thought about it.

The point is, it's not necessary. Partial metadata modification as I described to get the protocol constant in without triggering an SP to change protocols lets you push responses to probe for attribute problems in key SPs ahead of a full switch. That's just due diligence.

-- Scott

</pre>

</blockquote>

</body>

</html>