<div dir="ltr"><div class="gmail_extra"><div class="gmail_quote"><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex">Message: 4<br>
Date: Fri, 29 Jan 2016 12:35:52 +0100<br>
From: Peter Schober <<a href="mailto:peter.schober@univie.ac.at">peter.schober@univie.ac.at</a>><br>
To: <a href="mailto:users@shibboleth.net">users@shibboleth.net</a><br>
Subject: Re: SP is not accepting the certificate of the IDP<br>
Message-ID: <<a href="mailto:20160129113552.GI9732@aco.net">20160129113552.GI9732@aco.net</a>><br>
Content-Type: text/plain; charset=us-ascii<br>
<br>
* Yasser Afifi <<a href="mailto:yasser@3dissue.com">yasser@3dissue.com</a>> [2016-01-29 11:09]:<br>
> My SP was working fine with my IDP, then i deployed them on an Ubuntu test<br>
> server. IDP created a certificate while being installed that had the<br>
> hostname in it. I then changed my DNS name but the certificate is still<br>
> issued to old hostname. But this makes the SP not accepting the assertion<br>
> from the IDP.<br>
<br>
If the SP is Shibboleth then that's not what happens.<br>
The only place the hostname inside the IDP's cert comes into play is<br>
during backchannel/SOAP requests (such as attribtue queries) and you<br>
shouldn't need those.<br>
<br>
> How can I solve this? How can i make the IDP create a new certificate for<br>
> the new hostname?<br>
<br>
Try the documentation.<br>
<br>
> I tried using the keygen tool and supplied --hostname myHostName but it<br>
> doesn't create new certificates!<br>
><br>
> the error i get is Unable to establish security of incoming assertion<br>
<br>
That's not the error during certificate creation, though.<br>
If you change the keys on the IDP (which you shouldn't have done in<br>
the first place) you'll also have to supply them to everyone your IDP<br>
fderates with. I.e., you'll need to supply updated SAML Metadata to<br>
the SAML SP.<br>
<br>
> I got this same problem before on windows and i changed the hostname and<br>
> reinstalled shibboleth idp and it generated certificates for the new name<br>
> and the problem was solved. But i can't really do that on Ubuntu server!<br>
<br>
The software doesn't know or care whether it runs on MS-Windows or on<br>
Unix, it's a Java servlet. So that wouldn't account for any of the<br>
differences you observe.<br>
-peter<br>
<br></blockquote><div><br></div><div><br></div><div>Hello Peter, </div><div>Thanks a lot for your reply, Why am I getting this error then?  " Unable to establish security of incoming assertion". I matched the certificates (in both idp metadata and the actual certificates in /credentials). I also made sure that the SP has the correct metadata with all this info. Why would I still get this error?</div><div>My Second question is if we are not using the SOAP attribute query, should i comment it out in the metadata? I mean this one:</div><div><div>        <AttributeService Binding="urn:oasis:names:tc:SAML:1.0:bindings:SOAP-binding" Location="<a href="https://3dissueyasser.com:8443/idp/profile/SAML1/SOAP/AttributeQuery">https://3dissueyasser.com:8443/idp/profile/SAML1/SOAP/AttributeQuery</a>"/></div></div><div><br></div><div>do you think this might make problems if i leave it?</div><div><br></div><div>My third question is, at production deployment, if i want to use my company's certificate inside the IDP, how can I do that? or should i keep the IDP-generated certificates?</div><div><br></div><div>Thanks again,</div><div>Kind Regards,</div><div>Yasser</div></div></div></div>