<div dir="ltr"><div class="gmail_default" style="font-family:trebuchet ms,sans-serif;font-size:small;color:#073763">Hi,</div><div class="gmail_default" style="font-family:trebuchet ms,sans-serif;font-size:small;color:#073763"><br></div><div class="gmail_default" style="font-family:trebuchet ms,sans-serif;font-size:small;color:#073763">I have a vendor that requires unsolicited SSO.  Their metadata says 'AuthnRequestsSigned="true"'.  When I go to the unsolicited SSO link</div><div class="gmail_default" style="font-family:trebuchet ms,sans-serif;font-size:small;color:#073763"><br></div><div class="gmail_default" style="font-family:trebuchet ms,sans-serif;font-size:small;color:#073763">https://.../idp/profile/SAML2/Unsolicited/SSO?providerId=vendorID<br></div><div class="gmail_default" style="font-family:trebuchet ms,sans-serif;font-size:small;color:#073763"><br></div><div class="gmail_default" style="font-family:trebuchet ms,sans-serif;font-size:small;color:#073763">I get the error " SPSSODescriptor for entity ID ... indicates AuthnRequests must be signed, but inbound message was not signed".  I am watching my browser traffic and it's only interacting with the IdP.  The error is happening before the IdP sends any SAML back, and there is no explicit authnRequest SAML being sent.  Also, I am doing this in an incognito window, and it's happening before I go through a login flow.</div><div class="gmail_default" style="font-family:trebuchet ms,sans-serif;font-size:small;color:#073763"><br></div><div class="gmail_default" style="font-family:trebuchet ms,sans-serif;font-size:small;color:#073763">Since there isn't any interaction with the SP, does that mean that AuthnRequestsSigned="true" in SP metadata and unsolicited SSO are mutually exclusive?

  I can imagine that the IdP is, in effect, responding to an implicit authN request made on behalf of the SP.  There is clearly no way an (implicit) request could be signed with the SP's (private) signing key.  Most of the conversations on this topic in the list archive essentially end up with "tell the vendor to fix their metadata."  Is there any place I can point the vendor to that says AuthnRequestsSigned must be "false" for unsolicited SSO so they will fix their metadata?

</div><div class="gmail_default" style="font-family:trebuchet ms,sans-serif;font-size:small;color:#073763"><br></div><div class="gmail_default" style="font-family:trebuchet ms,sans-serif;font-size:small;color:#073763">On the other hand, there isn't any explicit authnRequest being sent.  In that case I kind of feel like the IdP should ignore the SP's AuthnRequestsSigned, and the metadata isn't wrong, per se.  It puts me in a much weaker position to ask them to change it.  Also, if they ever implemented SP-initiated SSO, AuthnRequestsSigned="true" seems like it might be a good idea.</div><div class="gmail_default" style="font-family:trebuchet ms,sans-serif;font-size:small;color:#073763"><br></div><div class="gmail_default" style="font-family:trebuchet ms,sans-serif;font-size:small;color:#073763">Is this a problem with the vendor's metadata?  A problem with the IdP?  Or just a problem with my understanding of SAML?  :-)  

I can change my local copy of the metadata to say AuthnRequestsSigned="false", and that's what I'm doing while I try to convince them to change it at the source.  It's a problem lying in wait if we ever have to update their metadata, though.

</div><div class="gmail_default" style="font-family:trebuchet ms,sans-serif;font-size:small;color:#073763"><br></div><div class="gmail_default" style="font-family:trebuchet ms,sans-serif;font-size:small;color:#073763">Thanks in advance, -Les</div><div class="gmail_default" style="font-family:trebuchet ms,sans-serif;font-size:small;color:#073763"><br></div><div class="gmail_default" style="font-family:trebuchet ms,sans-serif;font-size:small;color:#073763">p.s. I am seeing this with IdP 3.4.3, in case that matters.<br></div><div class="gmail_default" style="font-family:trebuchet ms,sans-serif;font-size:small;color:#073763"><br></div><div><div dir="ltr" class="gmail_signature" data-smartmail="gmail_signature"><div dir="ltr"><div><div dir="ltr"><div><div dir="ltr"><div><div dir="ltr"><div><div dir="ltr"><div><div dir="ltr"><hr style="color:rgb(0,0,0);font-family:"times new roman","new york",times,serif;font-size:16px"><div style="color:rgb(0,0,0);font-family:"times new roman","new york",times,serif;font-size:16px;text-align:right"><span size="2" style="color:rgb(153,102,51);font-size:small">Les LaCroix '79 </span><span style="color:rgb(153,102,51)">|</span><span size="2" style="color:rgb(153,102,51);font-size:small"> </span><span size="2" style="color:rgb(153,102,51);font-size:small">Strategic Technologist<br></span><span size="2" style="color:rgb(153,102,51);font-size:small">Carleton College </span><span style="color:rgb(153,102,51)">|</span><span size="2" style="color:rgb(153,102,51);font-size:small"> 1 N. College St. </span><span style="color:rgb(153,102,51)">|</span><span size="2" style="color:rgb(153,102,51);font-size:small"> MS 3-ITS </span><span style="color:rgb(153,102,51)">|</span><span size="2" style="color:rgb(153,102,51);font-size:small"> Northfield, MN 55057<br></span><span size="2" style="color:rgb(153,102,51);font-size:small">507.222.5455</span></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div>