<html>

  <head>

    <meta content="text/html; charset=windows-1252"

      http-equiv="Content-Type">

  </head>

  <body bgcolor="#FFFFFF" text="#000000">

    <p><br>

    </p>

    <br>

    <div class="moz-cite-prefix">On 7/26/16 4:39 PM, Cantor, Scott

      wrote:The result was an "UnknownPrincipal" error returned in the

      response.

    </div>

    <blockquote

cite="mid:9846A6064BD102419D06814DD0D78DE11299C488@CIO-TNC-D2MBX02.osuad.osu.edu"

      type="cite">

      <blockquote type="cite">

        <pre wrap="">

I believe we are using the standard v3 transient ID generation.

Any ideas on what the problem is here, or what additional config we

may be missing?

</pre>

      </blockquote>

      <pre wrap="">

I don't think there's anyway to make that work. I don't know if it worked in V2, and if it did, I doubt it was intentional. I suspect there's a mismatch in expectations between the delegation behavior and the transient ID behavior. You'd probably need to file a bug and work around it by using a different form of NameID that doesn't implement checks against the identity of the relying party.

I don't think it's possible to make this work with transients as is, but I don't know if Brent tested that or what it's meant to be doing.

</pre>

    </blockquote>

    <br>

    I sent my reply just now before reading yours.  But I think our

    interpretations of the Subject c14n error are the same.  I also

    don't know for sure if it worked in v2, but the machinery was so

    different there.<br>

    <br>

    See my other note, I'm pretty sure I know where the error is, and

    it's probably fixable pretty easily as long as there is a reliable

    way to determine from the Assertion the entityID of the RP to whom

    the transient was actually issued.<br>

    <br>

    No, I don't think I ever tested the transient (or persistent) case.<br>

    <br>

  </body>

</html>