<div dir="ltr">Hello,<div><br></div><div>An SP asked us to update their metadata and add new one for when they will switch dns names...</div><div>I made the updates in the metadata files and correspoding entries in metadata-providers.xml, then added a line in the attribute-filter as follows:</div><div><br></div><div><pre style="color:rgb(0,0,0);font-family:"Courier New";font-size:9pt"><span style="background-color:rgb(239,239,239)"><</span><span style="color:rgb(0,0,128);background-color:rgb(239,239,239);font-weight:bold">AttributeFilterPolicy </span><span style="color:rgb(0,0,255);background-color:rgb(239,239,239);font-weight:bold">id</span><span style="color:rgb(0,128,0);background-color:rgb(239,239,239);font-weight:bold">="<a href="http://cua.cascadeserver.com">cua.cascadeserver.com</a>"</span><span style="background-color:rgb(239,239,239)">></span><br>    <span style="background-color:rgb(239,239,239)"><</span><span style="color:rgb(0,0,128);background-color:rgb(239,239,239);font-weight:bold">PolicyRequirementRule </span><span style="color:rgb(102,14,122);background-color:rgb(239,239,239);font-weight:bold">xsi</span><span style="color:rgb(0,0,255);background-color:rgb(239,239,239);font-weight:bold">:type</span><span style="color:rgb(0,128,0);background-color:rgb(239,239,239);font-weight:bold">="OR"</span><span style="background-color:rgb(239,239,239)">></span><br>        <span style="background-color:rgb(239,239,239)"><</span><span style="color:rgb(0,0,128);background-color:rgb(239,239,239);font-weight:bold">Rule </span><span style="color:rgb(102,14,122);background-color:rgb(239,239,239);font-weight:bold">xsi</span><span style="color:rgb(0,0,255);background-color:rgb(239,239,239);font-weight:bold">:type</span><span style="color:rgb(0,128,0);background-color:rgb(239,239,239);font-weight:bold">="Requester" </span><span style="color:rgb(0,0,255);background-color:rgb(239,239,239);font-weight:bold">value</span><span style="color:rgb(0,128,0);background-color:rgb(239,239,239);font-weight:bold">="<a href="https://cua.cascadeserver.com/shibboleth">https://cua.cascadeserver.com/shibboleth</a>" </span><span style="background-color:rgb(239,239,239)">/></span><br>        <span style="background-color:rgb(239,239,239)"><</span><span style="color:rgb(0,0,128);background-color:rgb(239,239,239);font-weight:bold">Rule </span><span style="color:rgb(102,14,122);background-color:rgb(239,239,239);font-weight:bold">xsi</span><span style="color:rgb(0,0,255);background-color:rgb(239,239,239);font-weight:bold">:type</span><span style="color:rgb(0,128,0);background-color:rgb(239,239,239);font-weight:bold">="Requester" </span><span style="color:rgb(0,0,255);background-color:rgb(239,239,239);font-weight:bold">value</span><span style="color:rgb(0,128,0);background-color:rgb(239,239,239);font-weight:bold">="<a href="https://cua.cascadecms.com/shibboleth">https://cua.cascadecms.com/shibboleth</a>" </span><span style="background-color:rgb(239,239,239)">/></span><br>        <span style="background-color:rgb(239,239,239)"><</span><span style="color:rgb(0,0,128);background-color:rgb(239,239,239);font-weight:bold">Rule </span><span style="color:rgb(102,14,122);background-color:rgb(239,239,239);font-weight:bold">xsi</span><span style="color:rgb(0,0,255);background-color:rgb(239,239,239);font-weight:bold">:type</span><span style="color:rgb(0,128,0);background-color:rgb(239,239,239);font-weight:bold">="Requester" </span><span style="color:rgb(0,0,255);background-color:rgb(239,239,239);font-weight:bold">value</span><span style="color:rgb(0,128,0);background-color:rgb(239,239,239);font-weight:bold">="<a href="https://cua-test.cascadeserver.com/shibboleth">https://cua-test.cascadeserver.com/shibboleth</a>" </span><span style="background-color:rgb(239,239,239)">/></span><br>    <span style="background-color:rgb(239,239,239)"></</span><span style="color:rgb(0,0,128);background-color:rgb(239,239,239);font-weight:bold">PolicyRequirementRule</span><span style="background-color:rgb(239,239,239)">></span><br>    <span style="background-color:rgb(239,239,239)"><</span><span style="color:rgb(0,0,128);background-color:rgb(239,239,239);font-weight:bold">AttributeRule </span><span style="color:rgb(0,0,255);background-color:rgb(239,239,239);font-weight:bold">attributeID</span><span style="color:rgb(0,128,0);background-color:rgb(239,239,239);font-weight:bold">="eduPersonPrincipalName"</span><span style="background-color:rgb(239,239,239)">></span> <span style="background-color:rgb(239,239,239)"><</span><span style="color:rgb(0,0,128);background-color:rgb(239,239,239);font-weight:bold">PermitValueRule </span><span style="color:rgb(102,14,122);background-color:rgb(239,239,239);font-weight:bold">xsi</span><span style="color:rgb(0,0,255);background-color:rgb(239,239,239);font-weight:bold">:type</span><span style="color:rgb(0,128,0);background-color:rgb(239,239,239);font-weight:bold">="ANY" </span><span style="background-color:rgb(239,239,239)">/></span> <span style="background-color:rgb(239,239,239)"></</span><span style="color:rgb(0,0,128);background-color:rgb(239,239,239);font-weight:bold">AttributeRule</span><span style="background-color:rgb(239,239,239)">></span><br><span style="background-color:rgb(239,239,239)"></</span><span style="color:rgb(0,0,128);background-color:rgb(239,239,239);font-weight:bold">AttributeFilterPolicy</span><span style="background-color:rgb(239,239,239)">></span></pre><br>I added the line for the future DNS name: <span style="background-color:rgb(239,239,239);color:rgb(0,128,0);font-weight:bold;font-family:"Courier New";font-size:9pt"><a href="http://cascadecms.com">cascadecms.com</a></span></div><div><i><br></i></div>With this config, the SP is unable to decrypt the messages... but if I remove the <span style="background-color:rgb(239,239,239);color:rgb(0,128,0);font-weight:bold;font-family:"Courier New";font-size:9pt"><a href="http://cascadecms.com">cascadecms.com</a></span> line, they can!<div>It's as if when that line is present we use the <span style="background-color:rgb(239,239,239);color:rgb(0,128,0);font-family:"Courier New";font-size:12px;font-weight:700"><a href="http://cascadecms.com">cascadecms.com</a></span> metadata file and the corresponding certificate, even though the entity-id is for <a href="http://cascadeserver.com">cascadeserver.com</a> ?</div><div><br></div><div>How can I debug this further? </div><div><br></div><div>Thanks a lot,</div><div>Mohamed.</div><div><br></div></div>