<div dir="ltr"><div><div><div>Yes, this is another well documented "PKIX path building failed" issue but there is a twist. I've triple checked the LDAP server's cert and the CA cert, tried both by adding them to the ldap-server.crt file, constructed a trustStore and tweaked the settings to use ldap-server.truststore with the keyStoreTrust setting. We are using the CA cert from this deployment for sssd config, no issues. The certs are valid, not expired. Using ldapsearch I can test connection using <span class="inbox-inbox-st">LDAPTLS_CACERT=ldap-server.crt before the command, no connection issues. I've used the SSLPoke utility to make sure I can connect to to the LDAP server and I can when using the trust store I created for Shibboleth. <span class="inbox-inbox-inbox-inbox-st">I've tried all combinations of idp.authn.LDAP.useStartTLS and idp.authn.LDAP.useSSL.</span><br><br></span></div><span class="inbox-inbox-st">What else is there to check? It doesn't seem to be an issue with Java as I've been able to get a connection with SSLPoke using the same JVM. The only thing I can see different about the certificate used by this ldap server and my working ldap server is that the failing 389 certs is that their signature algo is sha1WithRSAEncryption where our production ldap uses sha256WithRSAEncryption.<br><br></span></div><span class="inbox-inbox-st">I'm using version 3.3.2. My JVM is Zulu version 8.25.0.1 which is Java 8.0.152.<br></span></div><span class="inbox-inbox-st"></span></div><div dir="ltr">-- <br></div><div class="gmail_signature" data-smartmail="gmail_signature"><div dir="ltr"><div><p style="margin-bottom:0in;line-height:100%"><font color="#ff0000"><font face="arial, sans-serif"><font style="font-size:10pt" size="2"><b>Darren
Boss</b></font></font></font></p><font style="font-size:10pt" size="2"><i>Senior Programmer/Analyst</i></font><font style="font-size:10pt" size="2"><i><br>Programmeur-analyste principal</i></font><font style="font-size:10pt" size="2"><i><br><a href="mailto:darren.boss@computecanada.ca">darren.boss@computecanada.ca</a></i></font><font style="font-size:10pt" size="2"><i><br>(o)
416.228.1234 x </i></font><font color="#000000"><font style="font-size:10pt" size="2">230<br></font></font></div><font color="#000000"><font style="font-size:10pt" size="2"><i>(c) 919.525.0083</i><br></font></font><div><font color="#000000"><font size="2"><br><span style="color:rgb(0,0,0);font-size:12.8px" class="gmail_msg">155 University Ave, Suite 302 Toronto, ON M5H 3B7</span><font class="gmail_msg" size="2"><br style="color:rgb(0,0,0)" class="gmail_msg"><span style="color:rgb(0,0,0)" class="gmail_msg"><a href="http://www.computecanada.ca" class="gmail_msg" target="_blank">www.computecanada.ca</a> / <a href="http://www.calculcanada.ca" class="gmail_msg" target="_blank">www.calculcanada.ca</a> </span><br style="color:rgb(0,0,0)" class="gmail_msg"><span style="color:rgb(0,0,0)" class="gmail_msg">@ComputeCanada </span></font><br style="color:rgb(0,0,0);font-size:medium" class="gmail_msg"><img style="color: rgb(0, 0, 0); font-size: medium;" class="gmail_msg" src="http://www.computecanada.ca/wp-includes/images/email_sig/cc_logo.jpg" width="200" height="120"><br></font></font></div></div></div>