<div dir="ltr"><div>Well, I think we can sum it all up by saying you play the cards you are dealt. Things aren't always ideal out here in the trenches.</div><div><br></div><div>I see in reading the <a href="https://wiki.shibboleth.net/confluence/x/VoEOAQ" target="_blank">https://wiki.shibboleth.net/confluence/x/VoEOAQ</a> page (yes! I am reading it! I do want to understand this stuff) that the encryption certificate is for decrypting stuff coming FROM the SP, which isn't terribly common. I know for sure we aren't doing anything of the sort with the three SPs who use our InCommon metadata. </div><div><br></div><div>What I did wrong was to assume that the IdP encryption cert was for, you know, the *IdP* to encrypt assertions and so forth. I did read about the backchannel cert, to understand what it was, but signing and encryption seemed pretty self-evident. But they are not. I'm not saying it's OK that I didn't read that more closely - but I bet I'm not the only person who's misunderstood this.</div><div><br></div><div>The thing is, we don't all have positions devoted to this stuff. We're usually under the gun to do 88 things at once, and we have to absorb information as best we can. I do read the shib documentation, and look at the examples, and research what other people have done. I always want to follow your advice and do things the right way. But I'm just trying to get this stuff working. </div><div><br></div><div>Karla</div><div><br></div><div><br></div><div><br></div><div><br></div><div><br></div></div><div class="gmail_extra"><br><div class="gmail_quote">On Tue, Mar 15, 2016 at 9:34 AM, Cantor, Scott <span dir="ltr"><<a href="mailto:cantor.2@osu.edu" target="_blank">cantor.2@osu.edu</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><span class="">> I agree but I didn't see any way to upload the metadata directly. That would<br>
> have been my preference. If I missed something, please let me know.<br>
<br>
</span>Tom's point is that giving people the ability to upload metadata tends to result in them grabbing whatever file they have, not understanding what's in it, and blindly supplying it.<br>
<span class=""><br>
> I do understand what the three certs are for, but I didn't know which one to<br>
> choose in this case, where it seemed you could only upload one.<br>
<br>
</span>InCommon supports any number of keys, but only for signing and TLS, not encryption. You can't distinguish between signng and TLS because they're both the same in SAML terms.<br>
<span class="HOEnZb"><font color="#888888"><br>
-- Scott<br>
</font></span><div class="HOEnZb"><div class="h5"><br>
<br>
--<br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.net</a><br>
</div></div></blockquote></div><br><br clear="all"><div><br></div>-- <br><div class="gmail_signature"><div style="margin-left:40px">Karla Borecky<br>Systems Administrator<br>ITS<br>Smith College<br>Northampton, MA 01063<br></div></div>
</div>