<div dir="ltr"><div class="gmail_default" style="font-family:tahoma,sans-serif;color:rgb(0,0,0)">Hi.  We're using IDP 3.2.1 and are having a problem with <a href="http://portal.office.com">portal.office.com</a>.  We don't really use Office 365 much, being a GMail shop for email and GDrive and Dropbox for cloud storage.  We have very occasional use of Office 365 for other things, and converted to federated login with Shib a couple months ago.</div><div class="gmail_default" style="font-family:tahoma,sans-serif;color:rgb(0,0,0)"><br></div><div class="gmail_default" style="font-family:tahoma,sans-serif;color:rgb(0,0,0)">The problem: when a user logged in to Shib a while back (hours) and then goes to <a href="http://portal.office.com">portal.office.com</a>, they will sometimes fail to connect.  The error displayed from <a href="http://portal.office.com">portal.office.com</a> is:</div><div class="gmail_default" style="font-family:tahoma,sans-serif;color:rgb(0,0,0)"><br></div><div class="gmail_default"><font color="#000000" face="tahoma, sans-serif">AADSTS50008: SAML 2.0 assertion validation failed: no supported token signature is provided.</font><br></div><div class="gmail_default"><font color="#000000" face="tahoma, sans-serif"><br></font></div><div class="gmail_default"><font color="#000000" face="tahoma, sans-serif">To fix things, the user can go to another service, log out, and then go back to <a href="http://portal.office.com">portal.office.com</a>.</font></div><div class="gmail_default"><font color="#000000" face="tahoma, sans-serif"><br></font></div><div class="gmail_default"><font color="#000000" face="tahoma, sans-serif">I have compared the SAML responses between failing and working attempts, using the SAML Chrome Panel.  To my eye, the only significant difference in responses is that the assertion is signed when things work and is not signed when things do not work.</font></div><div class="gmail_default"><font color="#000000" face="tahoma, sans-serif"><br></font></div><div class="gmail_default"><font color="#000000" face="tahoma, sans-serif">The metadata for urn:federation:MicrosoftOnline was copied from</font></div><div class="gmail_default"><font color="#000000" face="tahoma, sans-serif"><br></font></div><div class="gmail_default"><font color="#000000" face="tahoma, sans-serif"><a href="https://nexus.microsoftonline-p.com/federationmetadata/saml20/federationmetadata.xml">https://nexus.microsoftonline-p.com/federationmetadata/saml20/federationmetadata.xml</a></font></div><div class="gmail_default"><font color="#000000" face="tahoma, sans-serif"><br></font></div><div class="gmail_default"><font color="#000000" face="tahoma, sans-serif">I'm very far from being an expert but it looks to me like the metadata is saying that they want assertions signed, so I'm confused as to how we are sending unsigned assertions.</font></div><div class="gmail_default"><font color="#000000" face="tahoma, sans-serif"><br></font></div><div class="gmail_default"><font color="#000000" face="tahoma, sans-serif">Where should I be looking next?  What other info should I share?  I've captured some things but cannot seem to be able to reproduce the problem at will.</font></div><div class="gmail_default"><font color="#000000" face="tahoma, sans-serif"><br></font></div><div class="gmail_default"><font color="#000000" face="tahoma, sans-serif">Thanks, -Les</font></div><div class="gmail_default"><font color="#000000" face="tahoma, sans-serif"><br></font></div><div class="gmail_default"><font color="#000000" face="tahoma, sans-serif">p.s. superficially this sounds like another thread today about missing signatures on assertions, but the inclusions on that thread seem to show that a signature is present and that something else is unhappy.  For us the signature is completely missing.</font></div><div><div class="gmail_signature"><div dir="ltr"><div><div dir="ltr"><div><div dir="ltr"><div><div dir="ltr"><br><hr style="color:rgb(0,0,0);font-family:"times new roman","new york",times,serif;font-size:16px"><div style="color:rgb(0,0,0);font-family:"times new roman","new york",times,serif;font-size:16px;text-align:right"><span size="2" style="color:rgb(153,102,51);font-size:small">Les LaCroix </span><span style="color:rgb(153,102,51)">|</span><span size="2" style="color:rgb(153,102,51);font-size:small"> </span><span size="2" style="color:rgb(153,102,51);font-size:small">Strategic Technologist<br></span><span size="2" style="color:rgb(153,102,51);font-size:small">Carleton College </span><span style="color:rgb(153,102,51)">|</span><span size="2" style="color:rgb(153,102,51);font-size:small"> 1 N. College St. </span><span style="color:rgb(153,102,51)">|</span><span size="2" style="color:rgb(153,102,51);font-size:small"> MS 3-ITS </span><span style="color:rgb(153,102,51)">|</span><span size="2" style="color:rgb(153,102,51);font-size:small"> Northfield, MN 55057<br></span><span size="2" style="color:rgb(153,102,51);font-size:small">507.222.5455 | <a href="https://calendar.google.com/calendar/embed?src=llacroix%40carleton.edu&ctz=America/Chicago" target="_blank">free/busy</a></span></div></div></div></div></div></div></div></div></div></div>
</div>