<div dir="ltr">Thanks for clarifying Brent. I had guessed at adding the new encryption cert to my copy of the SP metadata with use="encryption" but then I looked in the InCommon metadata for such use and found no such examples. I infer the de facto default is using the same key for both signing and encryption and omitting the use clause, with only those SPs that do not want encrypted assertions adding the use="signing".  <div class="gmail_extra"><br><div class="gmail_quote">On Thu, Oct 29, 2015 at 4:49 PM, Brent Putman <span dir="ltr"><<a href="mailto:putmanb@georgetown.edu" target="_blank">putmanb@georgetown.edu</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
  
    
  
  <div bgcolor="#FFFFFF" text="#000000"><span class="">
    <br></span>...The cert in the SP's metadata isn't resolvable for
    encryption, mostly likely because its KeyDescriptor has
    use="signing".  You'd want to either remove the 'use' attribute, or
    add a new KeyDescriptor with the same or another cert, and marked
    with use="encryption"...<br></div></blockquote></div></div></div>