<div dir="ltr"><br><div class="gmail_extra"><div class="gmail_quote"><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div bgcolor="#FFFFFF" text="#000000">>In fact it's not just the request issuer entityID that's different,
    it's other things like the request Destination and ACS URL.  Were
    you deliberately obfuscating all of that in what you've been
    posting?</div></blockquote><div>I was, and failed miserably ultimately :$ (encoding/deflate got me on that one, I knew that was gonna happen...). The replaced strings are find/replace for actual servername, acs url, and destination and not hand replaced. I have closely checked the request and responses and they are not mispelled or mis-capitalized. I did turn off the Audience policy</div><div><div>        <PolicyRule type="Conditions"></div><div>            <!--<PolicyRule type="Audience"/>--></div><div>            <!-- Enable Delegation rule to permit delegated access. --></div><div>            <!-- <PolicyRule type="Delegation"/> --></div><div>        </PolicyRule></div></div><div><br></div><div>and now am getting this error</div><div><div>2015-08-14 13:29:16 ERROR Shibboleth.Listener [4195] shib_check_user: remoted message returned an error: AudienceRestriction condition not successfully validated by policy.</div><div>2015-08-14 13:29:16 ERROR Shibboleth.Apache [4195] shib_check_user: AudienceRestriction condition not successfully validated by policy.</div></div><div><br></div><div>which is different, but not better. I guess</div><div>again many thanks for the help here</div></div><br></div></div>