<div dir="ltr"><div dir="ltr"><div dir="ltr"><div>Hi,</div><div><br></div><div>I have been testing with the Shibboleth IdP that I got setup a while ago (thanks to help from people here!), and everything has been working ok, but now, we want to add an additional partner.</div><div><br></div><div>Both the original partner and the new partner will use the same users and passwords from the OpenDJ LDAP server that is hosted on the same machine where the Shibboleth IdP is hosted.</div><div><br></div><div>Also, the original partner and the new partner (from the partner side) are essentially/structurally similar, excerpt they have different entityID, etc.</div><div><br></div><div>So I got the metadata from the new partner and put it into the /opt/shibboleth/metadata directory, and updated the /opt/shibboleth/conf/metadata-providers.xml file:</div><div><br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">    <!-- FOR Metadata from ORIGINAL PARTNER --><br>    <MetadataProvider id="LocalMetadata"  xsi:type="FilesystemMetadataProvider" metadataFile="/opt/shibboleth-idp/metadata/ORIGINALIDPMetadata.xml"/><br>    <!-- ADDED FOR NEW Metadata from NEW PARTNER --><br>    <MetadataProvider id="NEWLocalMetadata"  xsi:type="FilesystemMetadataProvider" metadataFile="/opt/shibboleth-idp/metadata/NEWIDPMetadata.xml"/></blockquote><div><br></div><div>Is there anything else that I need to do on the Shibboleth IdP in order to get the new partner working?</div><div><br></div><div>I am asking because after made the changes to the metadata directory and the metadata-providers.xml, I bounced the Shibboleth IdP and tested with requests from both partners and:</div><div><br></div><div>- The test using the original partner is working as it did before the change, but</div><div>- The test using the new partner is failing and I am seeing the following in the idp-process.log file:</div><div><br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">    <saml2p:Status><br>        <saml2p:StatusCode Value="urn:oasis:names:tc:SAML:2.0:status:Requester"><br>            <saml2p:StatusCode Value="urn:oasis:names:tc:SAML:2.0:status:InvalidNameIDPolicy"/><br>        </saml2p:StatusCode><br>        <saml2p:StatusMessage>An error occurred.</saml2p:StatusMessage><br>    </saml2p:Status><br><br></blockquote><div><br></div><div>I don't see any errors in the idp-warn.log or in the idp-process.log files.</div><div><br></div><div>As mentioned, both partners are very similar, and they are both sending their theoretically-similar requests to the same/single Shibboleth IdP, so what else could cause one to work and one to fail with the NameIDFormat errors?</div><div><br></div><div>It seems like there must be some other/additional configuration that I haven't done on the Shibboleth IdP side that is required for the IdP to be able to support the 2 partners?</div><div><br></div><div></div><div>Thanks,</div><div>Jim</div><div><br></div></div>
</div>
</div>