<div dir="ltr">Hi Peter,<div><br></div><div>Thank you for your comments.<br><div class="gmail_extra"><br><div class="gmail_quote">2015-05-11 10:43 GMT+02:00 Peter Schober <span dir="ltr"><<a href="mailto:peter.schober@univie.ac.at" target="_blank">peter.schober@univie.ac.at</a>></span>:<br><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex">* Enrique Pérez Arnaud <<a href="mailto:eperez@emergya.com">eperez@emergya.com</a>> [2015-05-11 09:11]:<br>
<span class="">> ==> /var/log/apache2/keystone.log <==<br>
> 2015-05-08 14:04:23.190042 get_request_config created per-request structure<br>
> 2015-05-08 14:04:23.190089 AH02034: Subsequent (No.54) HTTPS request<br>
> received for child 80 (server <a href="http://ipnett-pre.emergya.es:443" target="_blank">ipnett-pre.emergya.es:443</a>)<br>
> 2015-05-08 14:04:23.190136 AH01626: authorization result of Require<br>
> valid-user : denied (no authenticated user yet)<br>
> 2015-05-08 14:04:23.190152 AH01626: authorization result of <RequireAny>:<br>
> denied (no authenticated user yet)<br>
<br>
</span>That doesn't seem to match your httpd config, which shows a listener<br>
only on port 5000 (the log above says <a href="http://ipnett-pre.emergya.es:443" target="_blank">ipnett-pre.emergya.es:443</a>)?<br></blockquote><div><br></div><div>I'm very sorry I accidentally attached old config files, the actual port used is 443,</div><div>I attach now the correct ones.</div><div> </div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex">
<br>
Looks like an ordinary httpd 2.4 authz issue (I'm still confused by<br>
2.4's new authz model, so can't advise).<br>
<span class=""><br>
> We attach the apache and shibboleth conf.<br>
<br>
</span>Some more comments:<br>
<br>
What gave you the impression you'd have to set the SP's entityID to<br>
"<a href="https://ipnett-pre.emergya.es:5000/Shibboleth.sso" target="_blank">https://ipnett-pre.emergya.es:5000/Shibboleth.sso</a>" specifically?<br>
See <a href="https://wiki.shibboleth.net/confluence/display/CONCEPT/EntityNaming" target="_blank">https://wiki.shibboleth.net/confluence/display/CONCEPT/EntityNaming</a></blockquote><div><br></div><div>We changed it to <a href="https://ipnett-pre.emergya.es/Shibboleth.sso">https://ipnett-pre.emergya.es/Shibboleth.sso</a></div><div> </div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex"><br>
<br>
Also, what gave you the impression you'd have to create an<br>
ApplicationOverride, creating a second virtual SP? Often this is not<br>
required and even if it is it requires extra SAML metadata for the<br>
second virtual SP given to the IDP, which you possibly have<br>
negleceted. Pay special attention of the page<br>
<a href="https://wiki.shibboleth.net/confluence/display/SHIB2/NativeSPApplicationOverride" target="_blank">https://wiki.shibboleth.net/confluence/display/SHIB2/NativeSPApplicationOverride</a><br>
including the section "Valid and Invalid Reasons for Additional<br>
Applications".<br>
<br>
More importantly, it does not make any sense to create a second<br>
virtualized SP and giving it the exact (weird, as per above) entityID<br>
as the default one. The sole purpose of being able to specify an<br>
entityID for the ApplicationOverride is for the entityID to be<br>
different. (Iff you determined that you absolutely require the use of<br>
an ApplicationOverride to begin with.)<br>
<br>
So I'd start by commenting out the application override in your<br>
shibboleth2.xml and commenting out the applicationId parameter in your<br>
httpd conf. Then try again, and this time also check your Shib logs<br>
(including native.log).<br></blockquote><div><br></div><div>If we do that, when, after logging in to the IdP, the browser is redirected to</div><div>our app (that requires shibboleth authn), we get a 404 response with body:</div><div><br></div><div>{"error": {"message": "Could not find Identity Provider: <a href="https://ipnett-idp.emergya.es/idp/shibboleth">https://ipnett-idp.emergya.es/idp/shibboleth</a>", "code": 404, "title": "Not Found"}}<br></div><div><br></div><div>I have all logs set to DEBUG, but after the 404 all I can see in the</div><div>logs is:</div><div><br></div><div><div>==> /var/log/shibboleth/shibd.log <==</div><div>2015-05-11 11:26:08 DEBUG Shibboleth.Listener [1]: dispatching message (find::StorageService::SessionCache)</div><div>2015-05-11 11:26:08 DEBUG XMLTooling.StorageService [1]: updated expiration of valid records in context (_a293efad92edbda84c8dd5d13ffe2209) to (1431339968)</div><div>2015-05-11 11:26:08 DEBUG Shibboleth.Listener [1]: dispatching message (touch::StorageService::SessionCache)</div><div>2015-05-11 11:26:08 DEBUG XMLTooling.StorageService [1]: updated expiration of valid records in context (_a293efad92edbda84c8dd5d13ffe2209) to (1431339968)</div></div><div><br></div></div><div><br></div>-- <br><div class="gmail_signature"><div dir="ltr">Enrique Pérez Arnaud</div></div>
</div></div></div>