<div dir="ltr"><div class="gmail_default" style="font-family:"times new roman",serif">Hello all,</div><div class="gmail_default" style="font-family:"times new roman",serif"><br></div><div class="gmail_default" style="font-family:"times new roman",serif">I am trying to get the Single Logout to propagate to my SPs, but I am running into an issue where the request being sent to an SP is not signed (and thus being rejected by the SP).  I found that previously someone had set idp.logout.authenticated to false, so I have both set it back to true and also commented it out (since the documentation seems to indicate that true is the default value), but still no signature in the request.  I've also tried setting an override for the SP in relying-party.xml with the following:</div><div class="gmail_default" style="font-family:"times new roman",serif"><br></div><div class="gmail_default"><font face="monospace, monospace"><bean parent="SAML2.Logout" p:signAssertions="true" p:signResponses="true" p:signRequests="true" /></font><br></div><div class="gmail_default"><font face="times new roman, serif"><br></font></div><div class="gmail_default"><font face="times new roman, serif">but still no luck.  Any other places you all would recommend looking to see why this request is not being signed?  If it helps at all, below is the skeleton of the request being sent to the SP:</font></div><div class="gmail_default"><font face="times new roman, serif"><br></font></div><div class="gmail_default"><div class="gmail_default"><font face="monospace, monospace"><saml2p:LogoutRequest xmlns:saml2p="urn:oasis:names:tc:SAML:2.0:protocol" Destination="My SP" ID="XXXX" IssueInstant="2017-04-13T20:59:24.915Z" Version="2.0"></font></div><div class="gmail_default"><font face="monospace, monospace">  <saml2:Issuer xmlns:saml2="urn:oasis:names:tc:SAML:2.0:assertion">My IdP</saml2:Issuer></font></div><div class="gmail_default"><font face="monospace, monospace">  <saml2:EncryptedID xmlns:saml2="urn:oasis:names:tc:SAML:2.0:assertion"></font></div><div class="gmail_default"><font face="monospace, monospace">    <xenc:EncryptedData xmlns:xenc="<a href="http://www.w3.org/2001/04/xmlenc#">http://www.w3.org/2001/04/xmlenc#</a>" Id="XXXX" Type="<a href="http://www.w3.org/2001/04/xmlenc#Element">http://www.w3.org/2001/04/xmlenc#Element</a>"></font></div><div class="gmail_default"><font face="monospace, monospace">      <xenc:EncryptionMethod xmlns:xenc="<a href="http://www.w3.org/2001/04/xmlenc#">http://www.w3.org/2001/04/xmlenc#</a>" Algorithm="<a href="http://www.w3.org/2001/04/xmlenc#aes128-cbc">http://www.w3.org/2001/04/xmlenc#aes128-cbc</a>"/></font></div><div class="gmail_default"><font face="monospace, monospace">      <ds:KeyInfo xmlns:ds="<a href="http://www.w3.org/2000/09/xmldsig#">http://www.w3.org/2000/09/xmldsig#</a>"></font></div><div class="gmail_default"><font face="monospace, monospace">        <xenc:EncryptedKey xmlns:xenc="<a href="http://www.w3.org/2001/04/xmlenc#">http://www.w3.org/2001/04/xmlenc#</a>" Id="XXXX" Recipient="My SP"></font></div><div class="gmail_default"><font face="monospace, monospace">          <xenc:EncryptionMethod xmlns:xenc="<a href="http://www.w3.org/2001/04/xmlenc#">http://www.w3.org/2001/04/xmlenc#</a>" Algorithm="<a href="http://www.w3.org/2001/04/xmlenc#rsa-oaep-mgf1p">http://www.w3.org/2001/04/xmlenc#rsa-oaep-mgf1p</a>"></font></div><div class="gmail_default"><font face="monospace, monospace">            <ds:DigestMethod xmlns:ds="<a href="http://www.w3.org/2000/09/xmldsig#">http://www.w3.org/2000/09/xmldsig#</a>" Algorithm="<a href="http://www.w3.org/2000/09/xmldsig#sha1">http://www.w3.org/2000/09/xmldsig#sha1</a>"/></font></div><div class="gmail_default"><font face="monospace, monospace">          </xenc:EncryptionMethod></font></div><div class="gmail_default"><font face="monospace, monospace">          <ds:KeyInfo></font></div><div class="gmail_default"><font face="monospace, monospace">            <ds:X509Data></font></div><div class="gmail_default"><font face="monospace, monospace">              <ds:X509Certificate>Cert of the SP removed</ds:X509Certificate></font></div><div class="gmail_default"><font face="monospace, monospace">            </ds:X509Data></font></div><div class="gmail_default"><font face="monospace, monospace">          </ds:KeyInfo></font></div><div class="gmail_default"><font face="monospace, monospace">          <xenc:CipherData xmlns:xenc="<a href="http://www.w3.org/2001/04/xmlenc#">http://www.w3.org/2001/04/xmlenc#</a>"></font></div><div class="gmail_default"><font face="monospace, monospace">            <xenc:CipherValue>Cipher value removed</xenc:CipherValue></font></div><div class="gmail_default"><font face="monospace, monospace">          </xenc:CipherData></font></div><div class="gmail_default"><font face="monospace, monospace">        </xenc:EncryptedKey></font></div><div class="gmail_default"><font face="monospace, monospace">      </ds:KeyInfo></font></div><div class="gmail_default"><font face="monospace, monospace">      <xenc:CipherData xmlns:xenc="<a href="http://www.w3.org/2001/04/xmlenc#">http://www.w3.org/2001/04/xmlenc#</a>"></font></div><div class="gmail_default"><font face="monospace, monospace">        <xenc:CipherValue>Cipher value removed</xenc:CipherValue></font></div><div class="gmail_default"><font face="monospace, monospace">      </xenc:CipherData></font></div><div class="gmail_default"><font face="monospace, monospace">    </xenc:EncryptedData></font></div><div class="gmail_default"><font face="monospace, monospace">  </saml2:EncryptedID></font></div><div class="gmail_default"><font face="monospace, monospace">  <saml2p:SessionIndex>XXXX</saml2p:SessionIndex></font></div><div class="gmail_default"><font face="monospace, monospace"></saml2p:LogoutRequest></font></div><div class="gmail_default" style="font-family:"times new roman",serif"><br></div><div class="gmail_default" style="font-family:"times new roman",serif">And below is sanitized information from the idp-process.log with debug turned on:</div><div class="gmail_default"><div class="gmail_default"><font face="monospace, monospace">2017-04-13 13:59:24,576 - DEBUG [net.shibboleth.idp.session.impl.PopulateLogoutPropagationContext:176] - Profile Action PopulateLogoutPropagationContext: Got session to propagate logout: SAML2SPSession{NameID=<?xml version="1.0" encoding="UTF-8"?></font></div><div class="gmail_default"><font face="monospace, monospace"><saml2:NameID Format="urn:oasis:names:tc:SAML:2.0:nameid-format:transient" NameQualifier="<a href="https://myidp/idp/shibboleth">https://myidp/idp/shibboleth</a>" SPNameQualifier="<a href="https://mysp/sp">https://mysp/sp</a>" xmlns:saml2="urn:oasis:names:tc:SAML:2.0:assertion">AssertionRemoved</saml2:NameID>, SessionIndex=XXXX}</font></div><div class="gmail_default"><font face="monospace, monospace">2017-04-13 13:59:24,590 - DEBUG [net.shibboleth.idp.session.impl.SelectLogoutPropagationFlow:101] - Profile Action SelectLogoutPropagationFlow: Selecting logout propagation flow logoutprop/saml2</font></div><div class="gmail_default"><font face="monospace, monospace">2017-04-13 13:59:24,842 - DEBUG [net.shibboleth.idp.saml.session.impl.PrepareInboundMessageContext:116] - Profile Action PrepareInboundMessageContext: Initialized inbound message context for logout of <a href="https://mysp/sp">https://mysp/sp</a></font></div><div class="gmail_default"><font face="monospace, monospace">2017-04-13 13:59:24,850 - DEBUG [net.shibboleth.idp.profile.impl.WebFlowMessageHandlerAdaptor:174] - Profile Action WebFlowMessageHandlerAdaptor: Invoking message handler of type 'org.opensaml.saml.common.binding.impl.SAMLProtocolAndRoleHandler' on INBOUND message context</font></div><div class="gmail_default"><font face="monospace, monospace">2017-04-13 13:59:24,858 - DEBUG [net.shibboleth.idp.profile.impl.WebFlowMessageHandlerAdaptor:174] - Profile Action WebFlowMessageHandlerAdaptor: Invoking message handler of type 'org.opensaml.saml.common.binding.impl.SAMLMetadataLookupHandler' on INBOUND message context</font></div><div class="gmail_default"><font face="monospace, monospace">2017-04-13 13:59:24,863 - DEBUG [net.shibboleth.idp.saml.profile.impl.InitializeRelyingPartyContextFromSAMLPeer:132] - Profile Action InitializeRelyingPartyContextFromSAMLPeer: Attaching RelyingPartyContext based on SAML peer <a href="https://mysp/sp">https://mysp/sp</a></font></div><div class="gmail_default"><font face="monospace, monospace">2017-04-13 13:59:24,868 - DEBUG [net.shibboleth.idp.relyingparty.impl.DefaultRelyingPartyConfigurationResolver:293] - Resolving relying party configuration</font></div><div class="gmail_default"><font face="monospace, monospace">2017-04-13 13:59:24,869 - DEBUG [net.shibboleth.idp.relyingparty.impl.DefaultRelyingPartyConfigurationResolver:305] - Checking if relying party configuration EntityNames[<a href="https://mysp/sp,">https://mysp/sp,</a>] is applicable</font></div><div class="gmail_default"><font face="monospace, monospace">2017-04-13 13:59:24,869 - DEBUG [net.shibboleth.idp.relyingparty.impl.DefaultRelyingPartyConfigurationResolver:307] - Relying party configuration EntityNames[<a href="https://mysp/sp,">https://mysp/sp,</a>] is applicable</font></div><div class="gmail_default"><font face="monospace, monospace">2017-04-13 13:59:24,870 - DEBUG [net.shibboleth.idp.profile.impl.SelectRelyingPartyConfiguration:136] - Profile Action SelectRelyingPartyConfiguration: Found relying party configuration EntityNames[<a href="https://mysp/sp,">https://mysp/sp,</a>] for request</font></div><div class="gmail_default"><font face="monospace, monospace">2017-04-13 13:59:24,886 - DEBUG [net.shibboleth.idp.saml.profile.impl.InitializeOutboundMessageContext:149] - Profile Action InitializeOutboundMessageContext: Initialized outbound message context</font></div><div class="gmail_default"><font face="monospace, monospace">2017-04-13 13:59:24,894 - DEBUG [net.shibboleth.idp.saml.profile.impl.PopulateBindingAndEndpointContexts:375] - Profile Action PopulateBindingAndEndpointContexts: Attempting to resolve endpoint of type {urn:oasis:names:tc:SAML:2.0:metadata}SingleLogoutService for outbound message</font></div><div class="gmail_default"><font face="monospace, monospace">2017-04-13 13:59:24,895 - DEBUG [net.shibboleth.idp.saml.profile.impl.PopulateBindingAndEndpointContexts:418] - Profile Action PopulateBindingAndEndpointContexts: Resolved endpoint at location <a href="https://mysp/sp/logoutURL">https://mysp/sp/logoutURL</a> using binding urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect</font></div><div class="gmail_default"><font face="monospace, monospace">2017-04-13 13:59:24,907 - WARN [net.shibboleth.idp.profile.config.AbstractProfileConfiguration:283] - ProfileConfiguration <a href="http://shibboleth.net/ns/profiles/saml2/logout">http://shibboleth.net/ns/profiles/saml2/logout</a>: No ProfileRequestContext in request</font></div><div class="gmail_default"><font face="monospace, monospace">2017-04-13 13:59:24,907 - DEBUG [net.shibboleth.idp.saml.saml2.profile.impl.PopulateEncryptionParameters:305] - Profile Action PopulateEncryptionParameters: Encryption for assertions (false), identifiers (true), attributes(false)</font></div><div class="gmail_default"><font face="monospace, monospace">2017-04-13 13:59:24,907 - DEBUG [net.shibboleth.idp.saml.saml2.profile.impl.PopulateEncryptionParameters:315] - Profile Action PopulateEncryptionParameters: Resolving EncryptionParameters for request</font></div><div class="gmail_default"><font face="monospace, monospace">2017-04-13 13:59:24,907 - DEBUG [net.shibboleth.idp.saml.saml2.profile.impl.PopulateEncryptionParameters:380] - Profile Action PopulateEncryptionParameters: Adding entityID to resolution criteria</font></div><div class="gmail_default"><font face="monospace, monospace">2017-04-13 13:59:24,908 - DEBUG [net.shibboleth.idp.saml.saml2.profile.impl.PopulateEncryptionParameters:391] - Profile Action PopulateEncryptionParameters: Adding role metadata to resolution criteria</font></div><div class="gmail_default"><font face="monospace, monospace">2017-04-13 13:59:24,909 - DEBUG [net.shibboleth.idp.saml.saml2.profile.impl.PopulateEncryptionParameters:331] - Profile Action PopulateEncryptionParameters: Resolved EncryptionParameters</font></div><div class="gmail_default"><font face="monospace, monospace">2017-04-13 13:59:24,917 - DEBUG [net.shibboleth.idp.saml.session.impl.AddLogoutRequest:249] - Profile Action AddLogoutRequest: Setting Issuer to <a href="https://myidp/idp/shibboleth">https://myidp/idp/shibboleth</a></font></div><div class="gmail_default"><font face="monospace, monospace">2017-04-13 13:59:24,943 - DEBUG [net.shibboleth.idp.profile.impl.WebFlowMessageHandlerAdaptor:179] - Profile Action WebFlowMessageHandlerAdaptor: Invoking message handler of type 'org.opensaml.messaging.handler.impl.BasicMessageHandlerChain' on OUTBOUND message context</font></div><div class="gmail_default"><font face="monospace, monospace">2017-04-13 13:59:24,943 - DEBUG [net.shibboleth.idp.profile.impl.WebFlowMessageHandlerAdaptor:195] - Profile Action WebFlowMessageHandlerAdaptor: Invoking message handler on message context containing a message of type 'org.opensaml.saml.saml2.core.impl.LogoutRequestImpl'</font></div><div class="gmail_default"><font face="monospace, monospace">2017-04-13 13:59:24,947 - DEBUG [net.shibboleth.idp.saml.profile.impl.SpringAwareMessageEncoderFactory:100] - Looking up message encoder based on binding URI: urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect</font></div><div class="gmail_default"><font face="monospace, monospace">2017-04-13 13:59:24,969 - DEBUG [net.shibboleth.idp.profile.impl.RecordResponseComplete:89] - Profile Action RecordResponseComplete: Record response complete</font></div><div class="gmail_default"><font face="monospace, monospace">2017-04-13 13:59:24,974 - INFO [Shibboleth-Audit.LogoutPropagation:241] - 20170413T205924Z|||<a href="https://mysp/sp|http://shibboleth.net/ns/profiles/saml2/logout|https://myidp/idp/shibboleth|urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect|Value">https://mysp/sp|http://shibboleth.net/ns/profiles/saml2/logout|https://myidp/idp/shibboleth|urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect|Value</a> Removed||||Value Removed||</font></div><div class="gmail_default"><font face="monospace, monospace">2017-04-13 13:59:35,094 - ERROR [org.springframework.webflow.execution.repository.NoSuchFlowExecutionException:76] -</font></div><div class="gmail_default"><font face="monospace, monospace">org.springframework.webflow.execution.repository.NoSuchFlowExecutionException: No flow execution could be found with key 'e3s3' -- perhaps this executing flow has ended or expired? This could happen if your users are relying on browser history (typically via the back button) that references ended flows.</font></div><div class="gmail_default"><font face="monospace, monospace">        at org.springframework.webflow.execution.repository.support.AbstractFlowExecutionRepository.getConversation(AbstractFlowExecutionRepository.java:172)</font></div><div class="gmail_default"><font face="monospace, monospace">Caused by: org.springframework.webflow.conversation.NoSuchConversationException: No conversation could be found with id '3' -- perhaps this conversation has ended?</font></div><div class="gmail_default"><font face="monospace, monospace">        at org.springframework.webflow.conversation.impl.ConversationContainer.getConversation(ConversationContainer.java:126)</font></div></div></div><div class="gmail_default"><font face="times new roman, serif"><br></font></div><div class="gmail_default"><font face="times new roman, serif">Thanks!</font></div><div><div class="gmail_signature"><div dir="ltr"><div><div dir="ltr"><div><div dir="ltr"><div><div dir="ltr"><div><div dir="ltr"><br><font face="times new roman, serif">Brian Moon</font><br><font face="times new roman, serif">Senior System Administrator</font><br><font face="times new roman, serif">Enterprise Systems</font><br><font face="times new roman, serif">Santa Clara University</font><br><font face="times new roman, serif">Office: 408.554.4830</font><br><a href="mailto:bmoon@scu.edu" style="font-family:"times new roman",serif" target="_blank">bmoon@scu.edu</a><br></div></div></div></div></div></div></div></div></div></div></div>
</div>