<div dir="ltr">Hi,<div><br></div><div>We are having issues integrating a client of ours who use Microsoft Azure ADFS against our Shibboleth 2.6 service provider.</div><div><br></div><div>In the past we've used the adfs2fed.py script to 'convert' ADFS metadata to be parsed and loaded onto the service provider - this has worked without issue, thought this doesn't seem to work so well with Azure ADFS metadata.</div><div><br></div><div>This new client runs ADFS from Azure, they appear to have a standard microsoft entityID, eg: entityID="<a href="https://sts.windows.net/">https://sts.windows.net/</a><unique_id>/"</div><div><br></div><div>The cert contained within the metadata has:</div><div><br></div><div><div>        Issuer: CN=Microsoft Azure Federated SSO Certificate</div><div>        Validity</div><div>            Not Before: Feb 13 15:23:34 2018 GMT</div><div>            Not After : Feb 13 15:23:24 2021 GMT</div><div>        Subject: CN=Microsoft Azure Federated SSO Certificate</div><div><br></div></div><div>When we load (the non-validated) metadata on to the service provider and the client attempts to access the protected resource we see these errors in the logs:</div><div><br></div><div><div>2018-03-02 12:47:35 DEBUG OpenSAML.MessageDecoder.SAML2 [1]: extracting issuer from SAML 2.0 protocol message</div><div>2018-03-02 12:47:35 DEBUG OpenSAML.MessageDecoder.SAML2 [1]: message from (<a href="https://sts.windows.net/">https://sts.windows.net/</a><unique_id>/)</div><div>2018-03-02 12:47:35 DEBUG OpenSAML.MessageDecoder.SAML2 [1]: searching metadata for message issuer...</div><div>2018-03-02 12:47:35 DEBUG OpenSAML.SecurityPolicyRule.MessageFlow [1]: evaluating message flow policy (replay checking on, expiration 60)</div><div>2018-03-02 12:47:35 DEBUG XMLTooling.StorageService [1]: inserted record (_52fb8d05-693c-4c49-8abf-e3f5f2e462b4) in context (MessageFlow) with expiration (1519995095)</div><div>2018-03-02 12:47:35 DEBUG OpenSAML.SecurityPolicyRule.XMLSigning [1]: validating signature profile</div><div>2018-03-02 12:47:35 DEBUG XMLTooling.CredentialCriteria [1]: keys didn't match</div><div>2018-03-02 12:47:35 DEBUG XMLTooling.TrustEngine.ExplicitKey [1]: unable to validate signature, no credentials available from peer</div><div>2018-03-02 12:47:35 DEBUG XMLTooling.TrustEngine.PKIX [1]: validating signature using certificate from within the signature</div><div>2018-03-02 12:47:35 DEBUG XMLTooling.TrustEngine.PKIX [1]: signature verified with key inside signature, attempting certificate validation...</div><div>2018-03-02 12:47:35 DEBUG XMLTooling.TrustEngine.PKIX [1]: checking that the certificate name is acceptable</div><div>2018-03-02 12:47:35 DEBUG XMLTooling.TrustEngine.PKIX [1]: adding to list of trusted names (<a href="https://sts.windows.net/">https://sts.windows.net/</a><span style="color:rgb(34,34,34);font-family:arial,sans-serif;font-size:small;font-style:normal;font-variant-ligatures:normal;font-variant-caps:normal;font-weight:400;letter-spacing:normal;text-align:start;text-indent:0px;text-transform:none;white-space:normal;word-spacing:0px;background-color:rgb(255,255,255);text-decoration-style:initial;text-decoration-color:initial;float:none;display:inline"><unique_id></span>/)</div><div>2018-03-02 12:47:35 DEBUG XMLTooling.TrustEngine.PKIX [1]: certificate subject: CN=Microsoft Azure Federated SSO Certificate</div><div>2018-03-02 12:47:35 DEBUG XMLTooling.TrustEngine.PKIX [1]: unable to match DN, trying TLS subjectAltName match</div><div>2018-03-02 12:47:35 DEBUG XMLTooling.TrustEngine.PKIX [1]: unable to match subjectAltName, trying TLS CN match</div><div>2018-03-02 12:47:35 ERROR XMLTooling.TrustEngine.PKIX [1]: certificate name was not acceptable</div><div>2018-03-02 12:47:35 ERROR OpenSAML.SecurityPolicyRule.XMLSigning [1]: unable to verify message signature with supplied trust engine</div></div><div><br></div><div>So my question is: does the client need to regenerate the certificate so it contains valid DN/subjectAltName or are those debug messages of no concern? The certificate name not being acceptable being the real error, do you have any pointers on this?</div><div><br></div><div>I found very few threads on people setting up Azure based ADFS against SP...</div><div><br></div><div>Thanks for any help you can offer!</div><div><br></div><div>Regards,</div><div>Luke</div><div><br></div></div>