<div dir="ltr">metadata markup says the cert is for signing; can I rely on that?<div><br></div><div>







<blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><span class="gmail-s1"><span class="gmail-Apple-converted-space">      </span><md:KeyDescriptor use="signing"><br></span><span class="gmail-s1"><span class="gmail-Apple-converted-space">         </span><ds:KeyInfo><br></span><span class="gmail-s1"><span class="gmail-Apple-converted-space">            </span><ds:X509Data><br></span><span class="gmail-s1"><span class="gmail-Apple-converted-space">               </span><ds:X509Certificate>...</span></blockquote>


</div></div><div class="gmail_extra"><br><div class="gmail_quote">On Thu, Oct 12, 2017 at 10:34 AM, Cantor, Scott <span dir="ltr"><<a href="mailto:cantor.2@osu.edu" target="_blank">cantor.2@osu.edu</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><span class="">On 10/12/17, 2:30 PM, "users on behalf of IAM David Bantz" <<a href="mailto:users-bounces@shibboleth.net">users-bounces@shibboleth.net</a> on behalf of <a href="mailto:dabantz@alaska.edu">dabantz@alaska.edu</a>> wrote:<br>
<br>
> I think I can ease the transition by adding the new cert initially without removing the old in their metadata, and the IdP is smart<br>
> enough to rely on the right cert; then after the switch is verified, remove the old. Am I correct?<br>
<br>
</span>Depends on whether it's used for signing, encryption, or both and what Salesforce itself is doing. You can't have a key in the metadata the IdP might pick to encrypt with if the other end doesn't know to use it.<br>
<span class="HOEnZb"><font color="#888888"><br>
-- Scott<br>
<br>
<br>
<br>
--<br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.<wbr>net</a><br>
</font></span></blockquote></div><br></div>