<div dir="ltr"><br><div class="gmail_extra"><br><div class="gmail_quote">On Thu, May 7, 2015 at 9:10 PM, Cantor, Scott <span dir="ltr"><<a href="mailto:cantor.2@osu.edu" target="_blank">cantor.2@osu.edu</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex"><span class="">On 5/7/15, 10:49 AM, "Surinaidu Majji" <<a href="mailto:pioneer.suri@gmail.com">pioneer.suri@gmail.com</a>> wrote:<br>
><br>
>1) In order to make a request from the Non-Shibboleth SP to the Embedded Discovery service(EDS), currently we are making a HTTP GET request with 'entityId' and 'return' parameters from the Non-Shibboleth SP to the EDS. Now ,How can the request be made securely? and In which format does the request has to made?<br>
<br>
</span>It isn't secure, it's just a GET. You're stating outright the format and then asking for the format. I don't really know what you want here.<br></blockquote><div><br></div><div>   Yes i understand contar, the format is HTTP GET, Since we are not using Shibboleth SP, Our worry is about "any body who knows entityId can get the idp metadata(discofeed) from the Our non shibboleth SP". How can we make  it  secure. because we are not using "Identity Provider Discovery Service
Protocol and Profile" as you mentioned in the  "specification, it's here [1]." </div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex">
<br>
If you haven't read the specification, it's here [1]. That is the answer to any questions you have in general about the protocol, which is nothing, it's a redirect flow. It's dead simple. This is all overkill for everything you're doing. Just use a page with links on it.<br>
<span class=""><br>
><br>
>2) According to our understanding, initially SP is making a request to the EDS, then EDS is making a XmlHttpRequest back to the SP's discovery feed in order to pull in the data it needs<br>
> to render the UI.<br>
<br>
</span>I'm not sure if it's done exactly that way or not, but it's an implementation detail.<br>
<span class=""><br>
> So what is the main purpose of "SP requesting EDS to get the list of idp's"? and Why can't the EDS store the same json feed information(list of idp's) for display when SP is requested?<br>
<br>
</span>The EDS is in Javascript, there's nowhere to "store" the information.<br>
<br>
-- Scott<br>
<br>
[1] <a href="https://wiki.oasis-open.org/security/IdpDiscoSvcProtonProfile" target="_blank">https://wiki.oasis-open.org/security/IdpDiscoSvcProtonProfile</a><br>
<span class=""><font color="#888888">--<br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.net</a><br>
</font></span></blockquote></div><br></div></div>