
<html>

  <head>

    <meta http-equiv="Content-Type" content="text/html; charset=UTF-8">

  </head>

  <body>

    <p><br>

    </p>

    <div class="moz-cite-prefix">On 7/1/22 3:44 PM, Cantor, Scott via

      users wrote:<br>

    </div>

    <blockquote type="cite"

      cite="mid:B08C59D7-5EDF-4FDE-8F96-FF66625D27AA@osu.edu">

      <pre class="moz-quote-pre" wrap="">I don't know what you're asking or trying to do, but the SP enforces the profile requirement that the Assertion's issuer must match the Response issuer. They can't be different by definition for the only profile supported.</pre>

    </blockquote>

    <p><br>

    </p>

    <p>In the OP's 2 examples, I believe the delta is that in the first,

      the Response Issuer is omitted entirely.  I had to check the SSO

      profile spec to confirm, apparently that's allowed: "The

      (<Response>) <Issuer> element MAY be omitted, but if

      present must contain...".</p>

    <p>So I guess what the OP asking is if there's a way to enforce the

      presence.  Since the spec allows it explicitly to be omitted, I'm

      not sure what the reason is.  And I doubt the SP supports

      arbitrary validation rules like that anyway, right?<br>

    </p>

    If the Response Issuer is omitted, one can always just use the

    Assertion(s) Issuer value, since they all have to be the same

    anyway, per the spec.<br>

  </body>

</html>