<div dir="ltr"><div dir="ltr">hi,<div><br></div></div><div class="gmail_quote gmail_quote_container"><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div class="msg8313842221822983229"><div dir="ltr"><div style="font-family:Aptos,Aptos_EmbeddedFont,Aptos_MSFontService,Calibri,Helvetica,sans-serif;font-size:12pt;color:rgb(0,0,0)">I manage several hundred linux / apache website SPs, and several of the remote IdPs we authenticate to are Microsoft Active Directory servers. If we give the raw AD IdP metadata to the SPs, then the SP won't authenticate users because the IdP fails to assert
 a Scope. We have one (1) partner who provides scoped metadata for their IdP and everyone else requires us to maintain a scoped copy of their metadata for them.</div></div></div></blockquote><div><br></div><div>adfs2fed.py is a handy tool - this has also been rewritten in powershell.  if the SPs are configured to use MDQ then they can pull the correct metadata from the one single corrected version. this all avoids hand editing </div><div><br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div class="msg8313842221822983229"><div dir="ltr"><ol start="1" style="list-style-type:decimal"><li style="font-family:Aptos,Aptos_EmbeddedFont,Aptos_MSFontService,Calibri,Helvetica,sans-serif;font-size:12pt;color:rgb(0,0,0)"><div>bypass options for the SP to ignore the AD IdPs' scope check?</div></li></ol></div></div></blockquote><div><br></div><div>for internal-only and non-global federated, you might get away with not doing scope checks - however, some attributes are supposed to have a scope..so if the IdP is releasing values expected to have scope then that'll be more work. </div><div>for those with scope requirements its because at a globally available SP you HAVE to have scope or else jane.smith from Purdue University cannot be distinguished from janet.smith from University of Sydney or jane.smith from Uppsala Universitet</div><div><br></div><div>so summary TL;DR; , keep local sane Metadata version somewhere reachable from all SPs and get those SPs to pull that metadata resource. </div><div><br></div><div>alan</div></div><div dir="ltr" class="gmail_signature"><br><br></div></div>