<div dir="ltr">Several days ago I implemented the datasealer key rollover procedure described in <a href="https://wiki.shibboleth.net/confluence/display/IDP30/SecretKeyManagement">https://wiki.shibboleth.net/confluence/display/IDP30/SecretKeyManagement</a>.  At the time, I assumed that the running java process would pickup and use the new sealer.jks file.  However, today I needed to stop the IdP process and now unfortunately, it won't start back up.  <div><br></div><div>In the jetty logs, I get the error message<div><div><br></div><div><div>2016-04-18 12:50:43.431 [ERROR] : net.shibboleth.utilities.java.support.security.BasicKeystoreKeyStrategy: Error loading de</div><div>fault key from base name 'secret'</div><div>net.shibboleth.utilities.java.support.security.KeyNotFoundException: Key was not present in keystore</div></div><div><br></div><div>(As I did not set an alias when doing the initial installation, I assumed that the alias "secret" was a hardcoded variable).  If I return the original sealer.jks and sealer.kver, the IdP starts without any problems.</div><div><br></div><div>Does the Idp need to be restarted to use the new sealer file?<br></div><div><br></div><div>I assume that sealer.jks encrypts the client-side cookies that are part of Shib V3 (but I'm probably incorrect on this point) and that standard key rollover techniques are required for standard security practices.  Unfortunately, I'm not sure why </div><div><br></div><div><div>$IDP_HOME/bin/seckeygen.sh \</div><div>    --storefile $IDP_HOME/credentials/sealer.jks \</div><div>    --storepass "supersecretpassphrase" \</div><div>    --versionfile $IDP_HOME/credentials/sealer.kver \</div></div><div>    --alias secret</div><div><br></div><div>would not produce a usable sealer.jks file (obviously, the storepass variable is not correct here, but it is in my script).</div><div><br></div><div>Any suggestions?</div></div></div><div><br></div><div>Thanks,</div><div>Mike</div></div>