<div dir="ltr">Hi,<div><br></div><div>I spent the better part of a day troubleshooting this, so I figured it would be worth getting to the bottom of this.</div><div><br></div><div>I was running into an issue where I ultimately determined that the Shibboleth URLs: /Shibboleth.sso/* were not being properly handled by Apache. Every request, including the POST request from the IdP, were being handled as new requests that required authentication instead of a request containing auth information that should have been handled</div><div><br></div><div>I confirmed this by looking a shibd.log and noticed that the message received during the POST back from the IdP was never being unpacked and was instead just generating a new authentication redirect to the IdP.</div><div><br></div><div>The fix, ironically, was to comment out this section of the mod_shib.conf file that shipped with Shibboleth even though the comment says the point of that block is ensure the handle will be accessible.</div><div><br></div><div><div>#</div><div># Ensures handler will be accessible.</div><div>#</div><div>#&lt;Location /Shibboleth.sso&gt;</div><div>#  Satisfy Any</div><div>#  Allow from all</div><div>#&lt;/Location&gt;</div></div><div><br></div><div>When it was uncommented, I tried all all kinds of things including adding a block to my Virtual Host:</div><div><br></div><div>&lt;Location /Shibboleth.sso&gt;</div><div>  SetHandler shib</div><div>&lt;/Location&gt;</div><div><br></div><div>but I could never get the handler to be invoked for the Shibboleth.sso URLs. The fix ultimately was to comment out the block in mod_shib.conf at which point it magically started working. I didn&#39;t even need a block to explicitly &quot;SetHandler shib&quot; once that initial block was commented out.</div><div><br></div><div>Any ideas?</div><div><br></div><div>Here are some other details of my config:</div><div><br></div><div>I&#39;m using mod_shib in Apache 2.2.17 and Shibboleth 2.5.3.</div><div><br></div><div>My /etc/httpd/conf.d/mod_shib.conf file:</div><div><br></div><div><div>LoadModule mod_shib /usr/lib64/shibboleth/mod_shib_22.so</div><div><br></div><div>#</div><div># Ensures handler will be accessible.</div><div>#</div><div>#&lt;Location /Shibboleth.sso&gt;</div><div>#  Satisfy Any</div><div>#  Allow from all</div><div>#  SetHandler shib</div><div>#&lt;/Location&gt;</div><div><br></div><div>#</div><div># Used for example style sheet in error templates.</div><div>#</div><div>&lt;IfModule mod_alias.c&gt;</div><div>  &lt;Location /shibboleth-sp&gt;</div><div>    Satisfy Any</div><div>    Allow from all</div><div>  &lt;/Location&gt;</div><div>  Alias /shibboleth-sp/main.css /usr/share/shibboleth/main.css</div><div>&lt;/IfModule&gt;</div></div><div><br></div><div>I&#39;ve got the following VirtualHost set-up in my /etc/httpd/conf.d/proxies.conf file:<br></div><div><br></div><div><div>&lt;VirtualHost *:443&gt;</div><div>  ServerName <a href="http://ourdomain.com" target="_blank">ourdomain.com</a></div><div>  SSLEngine on</div><div>  SSLProtocol all</div><div>  SSLCertificateFile /path/to/crt</div><div>  SSLCertificateKeyFile /path/to/key</div><div>  SSLCertificateChainFile /path/to/chain</div><div><br></div><div>  &lt;Location /&gt;</div><div>    AuthType shibboleth</div><div>    ShibRequestSetting requireSession 1</div><div>    require valid-user</div><div>  &lt;/Location&gt;</div><div><br></div><div>  ProxyPass / ajp://localhost:8009/</div><div>  ProxyPassReverse / ajp://localhost:8009/</div><div>&lt;/VirtualHost&gt;</div></div></div>