<div dir="ltr"><div>Hi,</div><div><br></div><div>We are experiencing a (in our opinion) weird redirect loop, and would appreciate any pointer. We have searched the lists and the documentation, and have found nothing so far. </div><div><br></div><div>Our shibboleth SP receives the authn assertion from the idp, decodes and decrypts it, extracts the attributes, creates a session, and sets a cookie with the shibboleth session id. Then it  redirects to our app, which is protected by shibboleth:</div><div><br></div><div>    <Location /v3/auth/OS-FEDERATION/websso/saml2></div><div>        SSLRequireSSL</div><div>        ShibRequestSetting requireSession 1</div><div>        ShibRequestSetting applicationId idp_1</div><div>        AuthType shibboleth</div><div>        ShibExportAssertion Off</div><div>        Require valid-user</div><div>        #Require shib-attr domain <a href="http://emergya.com">emergya.com</a></div><div>    </Location></div><div><br></div><div>But the process never reaches the application code, apache/mod_shib are not able to recover the session, these are in the apache logs:</div><div><br></div><div>==> /var/log/apache2/keystone.log <==</div><div>2015-05-08 14:04:23.190042 get_request_config created per-request structure</div><div>2015-05-08 14:04:23.190089 AH02034: Subsequent (No.54) HTTPS request received for child 80 (server <a href="http://ipnett-pre.emergya.es:443">ipnett-pre.emergya.es:443</a>)</div><div>2015-05-08 14:04:23.190136 AH01626: authorization result of Require valid-user : denied (no authenticated user yet)</div><div>2015-05-08 14:04:23.190152 AH01626: authorization result of <RequireAny>: denied (no authenticated user yet)</div><div>2015-05-08 14:04:23.190161 shib_check_user entered in pid (25882)</div><div><br></div><div>Both firefox and chrome, and also httpfox and live http headers, say that they are sending the cookie to our application endpoint. So, the GET request to our app endpoint seems to be correct, but apache/mod_shib fail to use it to recover the session, deny authorization, and send the browser back to the IdP.</div><div><br></div><div>We are using shibboleth 2.5.2 and Apache/2.4.7 on ubuntu 14.04.</div><div><br></div><div>We attach the apache and shibboleth conf. And you can see a loop in the shibd.log in [1] . Please ask for any other relevant information if you have a few minutes to give us a hand.</div><div><br></div><div>Thanks for any help</div><div><br></div><div>1.- <a href="http://pastebin.com/cVXTfJZU">http://pastebin.com/cVXTfJZU</a></div><div><br></div>-- <br><div class="gmail_signature"><div dir="ltr">Enrique Pérez Arnaud</div></div>
</div>