<div dir="ltr"><div><div><div>Nate,<br><br></div>Thanks for the explanation. I apologize for the late response (it just takes me some time to actually understand things). Thank you very much. <br><br></div>Thanks,<br></div>Kirill<br></div><div class="gmail_extra"><br><div class="gmail_quote">On Tue, Mar 22, 2016 at 2:51 PM, Nate Klingenstein <span dir="ltr"><<a href="mailto:nate.klingenstein@utah.edu" target="_blank">nate.klingenstein@utah.edu</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">



<div style="word-wrap:break-word">
Kirill,
<div><br>
</div>
<div>You probably don’t need to generate new encryption keys unless you have a use case where the IdP will be receiving inbound encrypted messages.  It’s rare.</div>
<div><br>
</div>
<div>The only other recommendation is that you keep your keys in version control along with your configuration files, with appropriately strong boundaries between your environments.</div>
<div><br>
</div>
<div>Other than that, I think you have the process right.  In particular, you wouldn’t want to designate a key as signing-only if you do intend to use encryption, and you wouldn’t make new encryption keys if you’re just signing.</div>
<div><br>
</div>
<div>Take care,</div>
<div>Nate.</div><span class="">
<div><br>
<div>
<blockquote type="cite">
<div>On Mar 21, 2016, at 23:47, Kirill <<a href="mailto:ks.grishin@gmail.com" target="_blank">ks.grishin@gmail.com</a>> wrote:</div>
<br>
<div>
<div style="font-family:Helvetica;font-size:12px;font-style:normal;font-variant:normal;font-weight:normal;letter-spacing:normal;line-height:normal;text-align:start;text-indent:0px;text-transform:none;white-space:normal;word-spacing:0px">
1. The production team generates there own public and private key pairs and puts them in the<span> </span><br>
</div>
<div style="font-family:Helvetica;font-size:12px;font-style:normal;font-variant:normal;font-weight:normal;letter-spacing:normal;line-height:normal;text-align:start;text-indent:0px;text-transform:none;white-space:normal;word-spacing:0px">
following files (as defined int the idp.properties):<br>
<br>
%{idp.home}/credentials/idp-signing.key (private / signing)<br>
%{idp.home}/credentials/idp-signing.crt (public / signing)<br>
%{idp.home}/credentials/idp-encryption.key (private / encryption)<br>
%{idp.home}/credentials/idp-encryption.crt (public / encryption)<br>
<br>
</div>
<div style="font-family:Helvetica;font-size:12px;font-style:normal;font-variant:normal;font-weight:normal;letter-spacing:normal;line-height:normal;text-align:start;text-indent:0px;text-transform:none;white-space:normal;word-spacing:0px">
2. Then they put the public keys to <KeyDescriptor use="signing" /> and <KeyDescriptor use="signing" /> elements of metadata and give this updated metadata to SP.</div>
</div>
</blockquote>
</div>
<br>
</div>
</span></div>

<br>--<br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.net</a><br></blockquote></div><br></div>