<div dir="ltr"><div class="gmail_extra"><div class="gmail_quote"><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex"><span class=""><br>
</span>I don't have much else to suggest, if the certificate in the message is exactly what the SP has on hand. You can try turning up the log and see if it says anything while it's searching out a key to use.<br></blockquote><div><br></div><div>After changing the root level to DEBUG, the log messages for the original SP and the new one are as follow:</div><div><br></div><div>(the original)</div><div>DEBUG OpenSAML.SecurityPolicyRule.XMLSigning [4]: validating signature profile<br></div><div>DEBUG XMLTooling.CredentialCriteria [4]: keys didn't match</div><div>DEBUG XMLTooling.TrustEngine.ExplicitKey [4]: attempting to validate signature with the peer's credentials</div><div>DEBUG XMLTooling.TrustEngine.ExplicitKey [4]: signature validated with credential</div><div>DEBUG OpenSAML.SecurityPolicyRule.XMLSigning [4]: signature verified against message issuer</div><div>DEBUG Shibboleth.SSO.SAML2 [4]: processing message against SAML 2.0 SSO profile</div><div>DEBUG XMLTooling.CredentialCriteria [4]: key algorithm didn't match ('AES' != 'RSA')</div><div>DEBUG Shibboleth.SSO.SAML2 [4]: decrypted Assertion: <saml2:Assertion ...</div><div><br></div><div>(the new one)</div><div>DEBUG OpenSAML.SecurityPolicyRule.XMLSigning [1]: validating signature profile</div><div>DEBUG XMLTooling.CredentialCriteria [1]: keys didn't match</div><div>DEBUG XMLTooling.TrustEngine.ExplicitKey [1]: attempting to validate signature with the peer's credentials</div><div>DEBUG XMLTooling.TrustEngine.ExplicitKey [1]: signature validated with credential</div><div>DEBUG OpenSAML.SecurityPolicyRule.XMLSigning [1]: signature verified against message issuer</div><div>DEBUG Shibboleth.SSO.SAML2 [1]: processing message against SAML 2.0 SSO profile</div><div>DEBUG XMLTooling.CredentialCriteria [1]: key algorithm didn't match ('AES' != 'RSA')</div><div>ERROR Shibboleth.SSO.SAML2 [1]: failed to decrypt assertion: Unable to locate an encrypted key.</div><div><br></div><div>As shown above, the messages are almost identical in both the successful case the failed one, </div><div>except for the last sentence.</div><div><br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex">
I don't think there's any way for it to fail based on what you described, I was just grasping at straws. I guess I would suggest not duplicating the CredentialResolver the way you said you did.<br>
<div class=""><div class="h5"><br></div></div></blockquote><div>I've tried this too, and nothing changes. </div><div><br></div><div>I'm going to try using different key pair for the new logical SP and see if it works.</div><div><br></div></div></div></div>