<br /><br /><span>On 23/02/12, <b class="name">Chad La Joie </b> &lt;lajoie@itumi.biz&gt; wrote:</span><blockquote cite="mid:CACTY7uAyep3xfUrx_qb=kOY8kgL8iZ1VEECbU5FcEO5wkji+Eg@mail.gmail.com" class="iwcQuote" style="border-left: 1px solid rgb(0, 0, 255); padding-left: 13px; margin-left: 0pt;" type="cite"><div class="mimepart text plain">On Thu, Feb 23, 2012 at 07:24, Keith Carr &lt;kecarr@sgul.ac.uk&gt; wrote:<br />&gt; I'm not sure I understand what you mean? What do you mean by look up<br />&gt; entitlements?<br /><br />I don't know how to say it any differently.  Go to your datasource,<br />execute a query for entitlements/privileges/grants (whatever you want<br />to call it), get a result back.</div></blockquote>I get you now. We do store entitlements in LDAP and use that normally.<br />Am I right in thinking that because the user from the franchise has the right to access SP 1 like one of our &quot;normal&quot; users but not SP 2 (when a normal user still can) we would have to create a new entitlement value to share with the SP's? Otherwise both SP's would understand the user from the franchise to have the same right to access as a standard user.<br />Otherwise how can you determine the entitlements for a person for a resource?<br /><blockquote cite="mid:CACTY7uAyep3xfUrx_qb=kOY8kgL8iZ1VEECbU5FcEO5wkji+Eg@mail.gmail.com" class="iwcQuote" style="border-left: 1px solid rgb(0, 0, 255); padding-left: 13px; margin-left: 0pt;" type="cite"><div class="mimepart text plain"><br /><br />&gt; Surely this isn't fuzzy logic?<br />&gt; -Look up the user's group<br />&gt; -Determine if the group has access to the resource requested<br />&gt; if (the group has access to the resource) {<br />&gt;   give permitted value to the user's eduPersonAffiliation attribute<br />&gt; } else {<br />&gt;   do not give a value to the user's eduPersonAffiliation attribute<br />&gt;<br />&gt; }<br /><br />Let me give you a real world example that I've seen play out a dozen times.<br /><br />A university has a student learning system (lets say its Blackboard).<br />They then use the following logic to imply entitlements in the system:<br />- anyone who is a faculty and associated with the class gets the<br />&quot;teacher&quot; privileges<br />- anyone who is a student and associated with the class gets the<br />&quot;student&quot; privileges<br /><br />The first day of class comes and we have these issues:<br />- the teacher assistent finds out that she can't view the roster for<br />the class because she's not a faculty member and therefore doesn't<br />meet the logic used to determine she should have &quot;teacher&quot; privileges<br />- a students who can't view the class at all because the registrar<br />hasn't processed their last-minute request to join the class<br />- a faculty member signed up to take this course, as a student, and<br />suddenly has access to all the &quot;teacher&quot; information because they're a<br />faculty member<br /><br />These exceptions continue to show up and the &quot;logic&quot; used to determine<br />who is a &quot;teacher&quot; and who is a &quot;student&quot; grows until its meaningless.<br /><br />&gt; Can you explain (in a simple way) how you would achieve what I am trying to<br />&gt; accomplish?<br /><br />Don't say &quot;Person X has a right to SP 1 because they're in franchise<br />A&quot;.  Instead say &quot;Person X has a right to SP 1&quot; and record that in<br />your LDAP or database.  Then, if down the road, Person Y should also<br />have access to SP 1 (regardless of the franchise they are a member<br />of), you simply record that as well.<br /><br />Let me also note one thing.  Some of this confusion may simply be<br />semantic.  If &quot;franchise A&quot;, to you, means &quot;a group of people who<br />always have access to SP 1&quot; and absolutely nothing else, then what<br />you're doing is fine.  Most people would normally call such a group a<br />&quot;role&quot; or a &quot;permission group&quot; but there is no set terminology.<br /><br />Problems arise though when &quot;franchise A&quot; means a bunch of different<br />things, e.g., &quot;a group of people who always have access to SP 1&quot; and<br />&quot;a group of people who always have access to SP 3&quot; and &quot;a group of<br />people who never have access to SP 3&quot;.  Some person, at some point in<br />time, will likely come along that violates your set of rules and then<br />you're going to be in a tough spot.</div></blockquote>I would mean to say:-<br />&quot;Franchise A&quot; always have access to SP 1, SP 2 and SP 3 and nothing else.<br />&quot;Franchise B&quot; always have access to SP 1, SP 2 and SP 4 and nothing else.<br /><br />-Keith<br /><blockquote cite="mid:CACTY7uAyep3xfUrx_qb=kOY8kgL8iZ1VEECbU5FcEO5wkji+Eg@mail.gmail.com" class="iwcQuote" style="border-left: 1px solid rgb(0, 0, 255); padding-left: 13px; margin-left: 0pt;" type="cite"><div class="mimepart text plain"><br /><br />-- <br />Chad La Joie<br />www.itumi.biz<br />trusted identities, delivered<br />--<br />To unsubscribe from this list send an email to users-unsubscribe@shibboleth.net<br /></div></blockquote>