<div dir="ltr"><div><div>Unfortunately we can not directly implement any changes to the ldap server. Points two and three have already been tested and I've switched back to that exact configuration and it's working, but still with the CA in the JRE's CA bundle.<br><br></div>It's a different IT team outside of our organization that controls the ldap replica. We can suggest changes but it's at their discretion to make the changes.<br></div></div><br><div class="gmail_quote"><div dir="ltr">On Tue, Dec 5, 2017 at 11:17 AM Peter Schober <<a href="mailto:peter.schober@univie.ac.at">peter.schober@univie.ac.at</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">* Darren Boss <<a href="mailto:darren.boss@computecanada.ca" target="_blank">darren.boss@computecanada.ca</a>> [2017-12-05 17:12]:<br>
> Certificate chain<br>
>  0 s:/C=ca/O=CADC/CN=<redacted><br>
>    i:/O=CADC/OU=CADC Internal Root CA<br>
>  1 s:/O=CADC/OU=CADC Internal Root CA<br>
>    i:/O=CADC/OU=CADC Internal Root CA<br>
<br>
OK, then I'd start with:<br>
<br>
* fixing the server to not send the CA root cert (the client has<br>
  nothing available to verify the root CA as that's self-signed.)<br>
<br>
* putting only that CA root cert in<br>
  %{idp.home}/credentials/CADC_Internal_Root_CA.pem and make that<br>
  world-readable<br>
<br>
* these settings in ldap.properties:<br>
  idp.authn.LDAP.sslConfig = certificateTrust<br>
  idp.authn.LDAP.trustCertificates = %{idp.home}/credentials/CADC_Internal_Root_CA.pem<br>
<br>
That should be all.<br>
-peter<br>
--<br>
For Consortium Member technical support, see <a href="https://wiki.shibboleth.net/confluence/x/coFAAg" rel="noreferrer" target="_blank">https://wiki.shibboleth.net/confluence/x/coFAAg</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.net</a><br>
</blockquote></div><div dir="ltr">-- <br></div><div class="gmail_signature" data-smartmail="gmail_signature"><div dir="ltr"><div><p style="margin-bottom:0in;line-height:100%"><font color="#ff0000"><font face="arial, sans-serif"><font style="font-size:10pt" size="2"><b>Darren
Boss</b></font></font></font></p><font style="font-size:10pt" size="2"><i>Senior Programmer/Analyst</i></font><font style="font-size:10pt" size="2"><i><br>Programmeur-analyste principal</i></font><font style="font-size:10pt" size="2"><i><br><a href="mailto:darren.boss@computecanada.ca">darren.boss@computecanada.ca</a></i></font><font style="font-size:10pt" size="2"><i><br>(o)
416.228.1234 x </i></font><font color="#000000"><font style="font-size:10pt" size="2">230<br></font></font></div><font color="#000000"><font style="font-size:10pt" size="2"><i>(c) 919.525.0083</i><br></font></font><div><font color="#000000"><font size="2"><br><span style="color:rgb(0,0,0);font-size:12.8px" class="gmail_msg">155 University Ave, Suite 302 Toronto, ON M5H 3B7</span><font class="gmail_msg" size="2"><br style="color:rgb(0,0,0)" class="gmail_msg"><span style="color:rgb(0,0,0)" class="gmail_msg"><a href="http://www.computecanada.ca" class="gmail_msg" target="_blank">www.computecanada.ca</a> / <a href="http://www.calculcanada.ca" class="gmail_msg" target="_blank">www.calculcanada.ca</a> </span><br style="color:rgb(0,0,0)" class="gmail_msg"><span style="color:rgb(0,0,0)" class="gmail_msg">@ComputeCanada </span></font><br style="color:rgb(0,0,0);font-size:medium" class="gmail_msg"><img style="color: rgb(0, 0, 0); font-size: medium;" class="gmail_msg" src="http://www.computecanada.ca/wp-includes/images/email_sig/cc_logo.jpg" width="200" height="120"><br></font></font></div></div></div>