<br /><br /><span>On 23/02/12, <b class="name">Peter Schober </b> &lt;peter.schober@univie.ac.at&gt; wrote:</span><blockquote cite="mid:20120223123832.GT22863@wssp.cc.univie.ac.at" class="iwcQuote" style="border-left: 1px solid rgb(0, 0, 255); padding-left: 13px; margin-left: 0pt;" type="cite"><div class="mimepart text plain">* Keith Carr &lt;kecarr@sgul.ac.uk&gt; [2012-02-23 13:25]:<br />&gt; &gt; No.  Don't try to imply entitlement.  The user either has it, or they<br />&gt; &gt; don't.  So, go to the directory or database, look up entitlements.<br />&gt; &gt; Done.<br />&gt; &gt; <br />&gt; I'm not sure I understand what you mean? What do you mean by look up<br />&gt; entitlements?<br /><br />My interpretation would be to take that literally and lookup a users<br />entitlements (e.g. common-lib-terms) from a directory service or an<br />RDBMS and use those &quot;as is&quot; in the IdP. (Assuming access is granted to<br />the SP based on an entitlement).</div></blockquote>Ahhh, I understand. I do store the user's entitlement in LDAP (e.g; &quot;student&quot; or &quot;staff&quot;) and this is supplied to the resource. I guess the answer would be to have a new entitlement given to the franchised users (e.g. &quot;franchise&quot;) and to those resources that they have access, add it to the list of entitlements they accept?<br />-Keith<br /><blockquote cite="mid:20120223123832.GT22863@wssp.cc.univie.ac.at" class="iwcQuote" style="border-left: 1px solid rgb(0, 0, 255); padding-left: 13px; margin-left: 0pt;" type="cite"><div class="mimepart text plain"><br /><br />That's pretty close to what I said before when if I'd be creating<br />such a system from scratch, to base it on the individual user(s).<br />It'll also avoid implementing logic (and the inevitable exceptions) in<br />the IdP, as all the logic (who gets access to what) needs to be<br />implemented when storing those values somewhere in LDAP/an<br />RDBMS. Granted it still has to happen somewhere, but then it'd be OOB<br />and not involving the IDP at all. (Consider this &quot;flattening&quot; the<br />affiliations, entitlements and &quot;franchise&quot; groups to a list of users<br />and their services. Might also be useful for internally provided<br />services).<br />-peter<br />--<br />To unsubscribe from this list send an email to users-unsubscribe@shibboleth.net<br /></div></blockquote>