<div dir="ltr"><div><div><div><div>Here are my ldap settings:<br><br><a href="https://pastebin.com/3XVtZLA2">https://pastebin.com/3XVtZLA2</a><br><br></div>The ldap-server.crt contains the CA (not in use in this particular configuration) while the ldap-server.truststore file contains the ldap server's cert and the CA created using keytool. If I use this exact truststore using SSLPoke, no issues. I'm going to reconfigure it to using trustCertificates again because of your comments but I have had that configuration in place before and it still failed to connect to this particular LDAP server. I would like to see if both configurations work now that the JRE has the CA cert.<br><br></div>I'm running containerized Shibboleth IdPs running under Kubernetes and until I ran into issue with this particular ldap server, the container that was running our production IdP connecting to our OpenLDAP server using Go Daddy certs and this installation using a private CA and running 389 Directory Server were identical except for Shibboleth configuration.<br><br></div>Now that I've got a working IdP with this newly built Docker image I'm not hitting this quite as hard as I was over the last week but I'm still very interested in figuring out what the heck is going on here. I'd much prefer to use the same Docker image for both deployments and remove the complexity from the build process that adds the CA cert to the JVM CA bundle.<br><br></div>I'd also like to try building the images using the Oracle JVM instead of the OpenJDK/Zulu and see if there are differences in behaviour.<br></div><br><div class="gmail_quote"><div dir="ltr">On Mon, Dec 4, 2017 at 3:37 PM Daniel Fisher <<a href="mailto:dfisher@vt.edu">dfisher@vt.edu</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div dir="ltr"><div class="gmail_extra"><div class="gmail_quote">On Mon, Dec 4, 2017 at 3:03 PM, Darren Boss <span dir="ltr"><<a href="mailto:darren.boss@computecanada.ca" target="_blank">darren.boss@computecanada.ca</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div dir="ltr">I ended up getting it to work but I did have to import the CA of the cert in der format into the JRE keystore in order to get it to connect and I'm NOT using jvmTrust in my ldap.properties file. This seems to contradict what I've read in the documentation and on the mailing list.</div></blockquote><div><br></div></div></div></div><div dir="ltr"><div class="gmail_extra"><div class="gmail_quote"><div>That configuration won't be supported in a future release.</div><div><br></div><div>Note that ldap.properties will leverage idp.authn.LDAP.trustCertificates for the resolver if it's defined.</div><div>However the idp.authn.LDAP.trustStore property is not propagated to the resolver, so if you're using it you'll need to deal with resolver trust configuration separately.</div><div>I'm not clear on how you've got things configured, but I would recommend you try setting idp.authn.LDAP.trustCertificates to the file location of the PEM encoded ca cert.</div><div><br></div><div>Logging the org.ldaptive package at DEBUG should also provide some insight.</div></div></div></div><div dir="ltr"><div class="gmail_extra"><div class="gmail_quote"><div><br></div><div>--Daniel Fisher</div><div><br></div></div></div></div>
--<br>
For Consortium Member technical support, see <a href="https://wiki.shibboleth.net/confluence/x/coFAAg" rel="noreferrer" target="_blank">https://wiki.shibboleth.net/confluence/x/coFAAg</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.net</a></blockquote></div><div dir="ltr">-- <br></div><div class="gmail_signature" data-smartmail="gmail_signature"><div dir="ltr"><div><p style="margin-bottom:0in;line-height:100%"><font color="#ff0000"><font face="arial, sans-serif"><font style="font-size:10pt" size="2"><b>Darren
Boss</b></font></font></font></p><font style="font-size:10pt" size="2"><i>Senior Programmer/Analyst</i></font><font style="font-size:10pt" size="2"><i><br>Programmeur-analyste principal</i></font><font style="font-size:10pt" size="2"><i><br><a href="mailto:darren.boss@computecanada.ca">darren.boss@computecanada.ca</a></i></font><font style="font-size:10pt" size="2"><i><br>(o)
416.228.1234 x </i></font><font color="#000000"><font style="font-size:10pt" size="2">230<br></font></font></div><font color="#000000"><font style="font-size:10pt" size="2"><i>(c) 919.525.0083</i><br></font></font><div><font color="#000000"><font size="2"><br><span style="color:rgb(0,0,0);font-size:12.8px" class="gmail_msg">155 University Ave, Suite 302 Toronto, ON M5H 3B7</span><font class="gmail_msg" size="2"><br style="color:rgb(0,0,0)" class="gmail_msg"><span style="color:rgb(0,0,0)" class="gmail_msg"><a href="http://www.computecanada.ca" class="gmail_msg" target="_blank">www.computecanada.ca</a> / <a href="http://www.calculcanada.ca" class="gmail_msg" target="_blank">www.calculcanada.ca</a> </span><br style="color:rgb(0,0,0)" class="gmail_msg"><span style="color:rgb(0,0,0)" class="gmail_msg">@ComputeCanada </span></font><br style="color:rgb(0,0,0);font-size:medium" class="gmail_msg"><img style="color: rgb(0, 0, 0); font-size: medium;" class="gmail_msg" src="http://www.computecanada.ca/wp-includes/images/email_sig/cc_logo.jpg" width="200" height="120"><br></font></font></div></div></div>