<div dir="ltr"><br><div class="gmail_extra"><br><div class="gmail_quote">On Thu, Mar 5, 2015 at 11:33 AM, Daniel Fisher <span dir="ltr">&lt;<a href="mailto:dfisher@vt.edu" target="_blank">dfisher@vt.edu</a>&gt;</span> wrote:<blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex"><div dir="ltr"><div class="gmail_extra"><div class="gmail_quote"><span class=""><div><br></div></span><div>An important detail in step 1 is that the user&#39;s LDAP DN is retrieved as part of that query. That is what is used to perform the bind in step 2.</div><div>Try this query:</div><div><span style="color:rgb(80,0,80);font-size:12.8000001907349px">ldapsearch -x -D &quot;</span><a href="mailto:servicename@bucknell.edu" style="font-size:12.8000001907349px" target="_blank">servicename@bucknell.edu</a><span style="color:rgb(80,0,80);font-size:12.8000001907349px">&quot; -b &quot;</span><span style="font-size:12.8000001907349px">cn=Users,dc=bucknell,</span><span style="font-size:12.8000001907349px">dc=edu</span><span style="color:rgb(80,0,80);font-size:12.8000001907349px">&quot; -s one -H ldap://</span><a href="http://xxxxx.bucknell.edu/" style="font-size:12.8000001907349px" target="_blank">XXXXX.bucknell.edu</a><span style="color:rgb(80,0,80);font-size:12.8000001907349px"> -W &#39;(sAMAccountName=USERNAME)&#39; 1.1</span></div><span class=""><div> </div></span></div></div></div></blockquote><div><br></div><div>I tried that query and received the following results (I used my account as USERNAME):</div><div><br></div><div># extended LDIF</div><div>#</div><div># LDAPv3</div><div># base &lt;cn=Users,dc=bucknell,dc=edu&gt; with scope oneLevel</div><div># filter: (sAMAccountName=dahlberg)</div><div># requesting: 1.1 </div><div>#</div><div><br></div><div># dahlberg, Users, <a href="http://bucknell.edu">bucknell.edu</a></div><div>dn: CN=dahlberg,CN=Users,DC=bucknell,DC=edu</div><div><br></div><div># search result</div><div>search: 2</div><div>result: 0 Success</div><div><br></div><div># numResponses: 2</div><div># numEntries: 1 </div><div><br></div><div><br></div><div>As you can see, I didn&#39;t receive any referrals.</div><div><br></div><div>I believe I&#39;m going to have to use Kerberos anyway to utilize the SSO capabilities of Shibboleth.  I can currently query AD for the various attributes that I pass to the SPs, but to maintain an SSO environment, wouldn&#39;t I need the ticketing capabilities of Kerberos?<br></div><div><br></div><div>Thanks,</div><div>Mike</div></div></div></div>