<div dir="ltr"><div class="gmail_quote"><div dir="ltr">On Thu, Apr 7, 2016 at 1:27 PM Brent Putman <<a href="mailto:putmanb@georgetown.edu">putmanb@georgetown.edu</a>> wrote:</div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div bgcolor="#FFFFFF" text="#000000">is the
    payload a SAML protocol request/response, or something
    CAS-specific?</div></blockquote><div><br></div><div>The intent was to be compliant with the SAML 1.1 spec. I believe it's based on the browser artifact profile over the HTTP-POST binding. Request messages look like this:</div><div><br></div><div><div>2016-04-07 13:38:10,962 - DEBUG [PROTOCOL_MESSAGE:?] -</div><div><?xml version="1.0" encoding="UTF-8"?></div><div><soap:Envelope xmlns="urn:oasis:names:tc:SAML:1.0:protocol"</div><div>            xmlns:soap="<a href="http://schemas.xmlsoap.org/soap/envelope/">http://schemas.xmlsoap.org/soap/envelope/</a>"></div><div>    <soap:Header/></div><div>    <soap:Body></div><div>        <Request</div><div>            IssueInstant="2016-04-07T17:38:10Z" MajorVersion="1"</div><div>            MinorVersion="1" RequestID="_ce9d0e0137eccf5468704bd8cb7a0f86"></div><div>            <AssertionArtifact>ST-1460050690923-sMrhErd1uhuuKUenR7DRIBLbi</AssertionArtifact></div><div>        </Request></div><div>    </soap:Body></div><div></soap:Envelope></div></div><div><br></div><div>Note the CAS protocol ticket appears as the artifact. The TARGET parameter is required; it should convey the URL of the service that requested the ticket:</div><div><br></div><div><div>198.82.160.148 - - [07/Apr/2016:13:38:10 -0400] "POST /profile/cas/samlValidate?TARGET=https%3A%2F%<a href="http://2Fcas-sp.middleware.vt.edu">2Fcas-sp.middleware.vt.edu</a>%3A74</div><div>43%2Fsaml11%2Fsecure%2F&renew=true HTTP/1.1" 200 10758 "-" "Java/1.7.0_21"</div></div><div><br></div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div bgcolor="#FFFFFF" text="#000000">Are there any SOAP header processing requirements
    (outbound/request and inbound/response)?</div></blockquote><div><br></div><div>None.</div><div> </div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div bgcolor="#FFFFFF" text="#000000">Does it need to do client
    TLS?</div></blockquote><div><br></div><div>No.</div><div> </div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div bgcolor="#FFFFFF" text="#000000"> Or are there a message-level signatures?<br></div></blockquote><div><br></div><div>Nope. That's the biggest difference with the CAS use of SAML; no message-level security whatever.</div><div><br></div><div>Please let me know if you need further information to build something.</div><div><br></div><div>M</div><div><br></div></div></div>