<div dir="ltr">The logs says <br><br>2026-05-15 14:12:37 DEBUG OpenSAML.MetadataProvider.XML : remote metadata resource will be backed up to (/var/cache/shibboleth/metadata-internal.xml.8d0b)<br>2026-05-15 14:12:37 DEBUG OpenSAML.MetadataProvider.XML : reload thread started...running every 7200 seconds<br>2026-05-15 14:12:37 DEBUG OpenSAML.MetadataProvider.XML : loading configuration from external resource...<br>2026-05-15 14:12:37 DEBUG OpenSAML.MetadataProvider.XML : writing to backing file: /var/cache/shibboleth/metadata-internal.xml.8d0b<br>2026-05-15 14:12:37 DEBUG XMLTooling.util.CloneInputStream : initialized<br>2026-05-15 14:12:37 DEBUG XMLTooling.util.CloneInputStream : deleted<br>2026-05-15 14:12:37 INFO OpenSAML.MetadataProvider.XML : loaded XML resource (<a href="https://example.com/realms/internal/protocol/saml/descriptor">https://example.com/realms/internal/protocol/saml/descriptor</a>)<br>2026-05-15 14:12:37 DEBUG XMLTooling.Signature : unmarshalling ds:Signature<br>2026-05-15 14:12:37 INFO OpenSAML.MetadataProvider : applying metadata filter (Signature)<br>2026-05-15 14:12:37 DEBUG XMLTooling.CredentialCriteria : credential name(s) didn't overlap<br>2026-05-15 14:12:37 WARN OpenSAML.MetadataFilter.Signature : filtering out entity at root of instance after failed signature check: CredentialResolver did not supply any candidate keys.<br>2026-05-15 14:12:37 WARN OpenSAML.MetadataFilter.Signature : filtering out entity at root of instance after failed signature check: CredentialResolver did not supply any candidate keys.<br>2026-05-15 14:12:37 WARN OpenSAML.MetadataProvider.XML : adjusted reload interval to 600 seconds<br>2026-05-15 14:12:37 WARN OpenSAML.MetadataProvider.XML : adjusted reload interval to 600 seconds<br>2026-05-15 14:12:37 WARN OpenSAML.MetadataProvider.XML : trying backup file, exception loading remote resource: SignatureMetadataFilter unable to verify signature at root of metadata instance.<br>2026-05-15 14:12:37 WARN OpenSAML.MetadataProvider.XML : trying backup file, exception loading remote resource: SignatureMetadataFilter unable to verify signature at root of metadata instance.<br>2026-05-15 14:12:37 INFO OpenSAML.MetadataProvider.XML : using local backup of remote resource<br>2026-05-15 14:12:37 ERROR XMLTooling.ParserPool : fatal error on line 0, column 0, message: unable to open primary document entity '/var/cache/shibboleth/metadata-internal.xml'<br>2026-05-15 14:12:37 ERROR XMLTooling.ParserPool : fatal error on line 0, column 0, message: unable to open primary document entity '/var/cache/shibboleth/metadata-internal.xml'<br>2026-05-15 14:12:37 ERROR OpenSAML.MetadataProvider.XML : error while loading resource (/var/cache/shibboleth/metadata-internal.xml): XML error(s) during parsing, check log for specifics<br>2026-05-15 14:12:37 ERROR OpenSAML.MetadataProvider.XML : error while loading resource (/var/cache/shibboleth/metadata-internal.xml): XML error(s) during parsing, check log for specifics<br>2026-05-15 14:12:37 CRIT OpenSAML.MetadataProvider.Chaining : failure initializing MetadataProvider: XML error(s) during parsing, check log for specifics<br>2026-05-15 14:12:37 CRIT OpenSAML.MetadataProvider.Chaining : failure initializing MetadataProvider: XML error(s) during parsing, check log for specifics<br>2026-05-15 14:12:37 DEBUG OpenSAML.MetadataProvider.XML : reload thread started...running every 600 seconds<br></div><br><div class="gmail_quote gmail_quote_container"><div dir="ltr" class="gmail_attr">Den fre 15 maj 2026 kl 12:11 skrev Rod Widdowson <<a href="mailto:rdw@steadingsoftware.com">rdw@steadingsoftware.com</a>>:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">> The problem I see is that Keycloak's Java XML signature library uses dsig: as the namespace <br>
> prefix (<dsig:Signature xmlns:dsig="<a href="http://www.w3.org/2000/09/xmldsig" rel="noreferrer" target="_blank">http://www.w3.org/2000/09/xmldsig</a>">), All other IdPs <br>
>  have worked with use ds: as the namespace prefix.<br>
<br>
This seems infeasible, but stranger things have happened.  What do the logs say?<br>
<br>
<br>
-- <br>
For Consortium Member technical support, see <a href="https://shibboleth.atlassian.net/wiki/x/ZYEpPw" rel="noreferrer" target="_blank">https://shibboleth.atlassian.net/wiki/x/ZYEpPw</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.net</a><br>
</blockquote></div>