Metadata check strict: only one SPSSODescriptor must be present

[lscorcia]

Buongiorno, nella mia amministrazione (PA Centrale) stiamo razionalizzando i metadati SPID per essere compliant con l'avviso pubblico n. 29 e stiamo cogliendo l'occasione per accorpare i diversi metadati creati negli anni per scopi e da soggetti differenti.
L'accorpamento richiederebbe di includere più tag SPSSODescriptor all'interno dello stesso metadato (i metadati condivideranno lo stesso entityID).

Il tool spid-saml-check al momento verifica che il metadato contenga esplicitamente un solo SPSSODescriptor:

Tuttavia non vedo nulla nelle regole tecniche che imponga che di questo tag ve ne sia al più uno. Tra l'altro da alcuni post sul forum Italia, pare che questa sia la soluzione ufficialmente consigliata dal team SPID: https://forum.italia.it/t/diversi-sp-per-un-singolo-ente/916/10 .

Si tratta di un bug del validatore o effettivamente questa tecnica non è consentita in produzione?
Grazie e buona giornata

[lscorcia]

Chiudo questa issue perché a quanto pare è proprio così: è un'altra non-conformità di SPID rispetto a SAML2.
https://forum.italia.it/t/un-ente-un-metadato-piu-spssodescriptor/17228/3

Ho aperto una pull request sul repo delle regole tecniche per documentare meglio questa ennesima eccezione.

[lscorcia]

In realtà probabilmente la issue è valida: nell'XSD relativo all'avviso 29, l'elemento è dichiarato unbounded:

spid-saml-check/specs-compliance-tests/xsd/saml-schema-metadata-sp-spid-av29.xsd

Lines 114 to 116 in 8c1b716

	<choice maxOccurs="unbounded">
	<element ref="md:SPSSODescriptor"/>
	</choice>

Aspettiamo quindi una risposta ufficiale al dubbio...

[damikael]

Confermo quanto indicato nelle regole tecniche che è previsto un solo elemento SPSSODescritptor per metadata.
Per accorpare più metadata occorre, pertanto, inserire nell'unico SPSSODescriptor i certificati e gli endpoint dei diversi servizi.
L'XSD su spid-saml-check, invece, sarà corretto.

Saluti,
Michele