<div dir="ltr"><div class="gmail_quote"><div>Your CAS service registry entry looks good.</div></div><div dir="ltr"><div class="gmail_quote"><div> </div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div dir="ltr"><div class="gmail_quote"><div dir="ltr"><div><span style="font-size:12.8000001907349px">I have entered the following text in my relying-party.xml:</span></div><div><span style="font-size:12.8000001907349px"><br></span></div><div><div><span style="font-size:12.8000001907349px">    <bean id="shibboleth.DefaultRelyingParty" parent="RelyingParty"></span></div></div></div></div></div></blockquote><div><br></div></div></div><div dir="ltr"><div class="gmail_quote"><div>RP config looks good.</div></div></div><div dir="ltr"><div class="gmail_quote"><div><br></div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div dir="ltr"><div class="gmail_quote"><div dir="ltr"><div><div><span style="font-size:12.8000001907349px"><IfModule mod_auth_cas.c></span></div><div><span style="font-size:12.8000001907349px">    CASVersion 2</span></div><div><span style="font-size:12.8000001907349px">    CASLoginURL <a href="https://shib.sou.edu/idp/profile/cas/login" target="_blank">https://shib.sou.edu/idp/profile/cas/login</a></span></div><div><span style="font-size:12.8000001907349px">    CASValidateURL <a href="https://shib.sou.edu/idp/profile/cas/samlValidate" rel="noreferrer" target="_blank">https://shib.sou.edu/idp/profile/cas/samlValidate</a></span></div></div></div></div></div></blockquote><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div dir="ltr"><div class="gmail_quote"><div dir="ltr"><div><div><span style="font-size:12.8000001907349px">    CASProxyValidateURL <a href="https://shib.sou.edu/idp/profile/cas/proxyValidate" target="_blank">https://shib.sou.edu/idp/profile/cas/proxyValidate</a></span></div><div><span style="font-size:12.8000001907349px">    CASCertificatePath /etc/pki/tls/certs/shib.pem</span></div><div><span style="font-size:12.8000001907349px">    CASValidateServer On</span></div><div><span style="font-size:12.8000001907349px">    CASValidateSAML On</span></div><div><span style="font-size:12.8000001907349px">    CASCookiePath /var/cache/httpd/mod_auth_cas_cookies/</span></div><div><span style="font-size:12.8000001907349px">    CASDebug On</span></div><div><span style="font-size:12.8000001907349px"></IfModule></span></div></div></div></div></div></blockquote><div><br></div></div></div><div dir="ltr"><div class="gmail_quote"><div>Apache config looks good. Note that in general you have the choice of SAML or CAS endpoints for attribute release, but the choice is limited in practice by client support. mod_auth_cas only supports attribute release via the SAML protocol, so your config is correct in that view.</div></div></div><div dir="ltr"><div class="gmail_quote"><div><br></div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div dir="ltr"><div class="gmail_quote"><div dir="ltr"><div style="font-size:12.8000001907349px"><br></div><div style="font-size:12.8000001907349px">-----</div><div style="font-size:12.8000001907349px">I am using this block to protect a directory:</div><div style="font-size:12.8000001907349px"><br></div><div><div><div style="font-size:12.8000001907349px"><div style="font-size:12.8000001907349px"><Directory /var/www/html/secure></div><div style="font-size:12.8000001907349px">     Options -Indexes FollowSymLinks</div><div style="font-size:12.8000001907349px">     AllowOverride</div><div style="font-size:12.8000001907349px">     Order allow,deny</div><div style="font-size:12.8000001907349px">     Allow from all</div><div style="font-size:12.8000001907349px">     Authtype CAS</div><div style="font-size:12.8000001907349px">     require cas-attribute "eduPersonAffiliation:staff"</div><div style="font-size:12.8000001907349px"></Directory></div><div><br></div></div><div style="font-size:12.8000001907349px">I have also tried "require valid-user" with the same end result.</div><div style="font-size:12.8000001907349px"><br></div><div style="font-size:12.8000001907349px">-----</div><div style="font-size:12.8000001907349px">I receive the following message in my browser(s):</div><div style="font-size:12.8000001907349px"><br></div><div><div><span style="font-size:12.8000001907349px">Authorization Required</span></div><div><span style="font-size:12.8000001907349px"><br></span></div><div><span style="font-size:12.8000001907349px">This server could not verify that you are authorized to access the document requested. Either you supplied the wrong credentials (e.g., bad password), or your browser doesn't understand how to supply the credentials required.</span></div></div></div></div></div></div></div></blockquote><div><br></div></div></div><div dir="ltr"><div class="gmail_quote"><div>That typically indicates a ticket validation failure. I'm surprised you didn't get more diagnostic information with CASDebug On. In the case of a networking or TLS negotiation failure, for example, you would see libcurl errors in the Apache error log with debugging enabled.</div></div></div><div dir="ltr"><div class="gmail_quote"><div> </div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div dir="ltr"><div class="gmail_quote"><div dir="ltr"><div><div><div><div><span style="font-size:12.8000001907349px"><br></span></div><div><span style="font-size:12.8000001907349px">Apache/2.2.15 (CentOS) Server at <a href="http://cas.sou.edu" target="_blank">cas.sou.edu</a> Port 443</span></div><div><span style="font-size:12.8000001907349px"><br></span></div><div><span style="font-size:12.8000001907349px">-----</span></div><div><span style="font-size:12.8000001907349px">In idp-protocol.log I see the following message:</span></div><div><span style="font-size:12.8000001907349px"><br></span></div><div><span style="font-size:12.8000001907349px"><div>2015-06-11 11:56:38,222 - INFO [net.shibboleth.idp.authn.impl.ValidateUsernamePasswordAgainstLDAP:182] - Profile Action ValidateUsernamePasswordAgainstLDAP: Login by 'martinicj' succeeded</div><div>2015-06-11 11:56:38,244 - INFO [net.shibboleth.idp.cas.flow.GrantServiceTicketAction:101] - Granted service ticket for <a href="https://cas.sou.edu/secure/" target="_blank">https://cas.sou.edu/secure/</a></div><div><br></div></span></div></div></div></div><div style="font-size:12.8000001907349px">-----</div><div style="font-size:12.8000001907349px">In the Apache logs I don't see any errors. ssl_access and ssl_request show the ticket URL:</div><div><div style="font-size:12.8000001907349px"><br></div><div style="font-size:12.8000001907349px">140.211.91.96 - - [11/Jun/2015:12:00:08 -0700] "GET /secure/ HTTP/1.1" 302 350</div><div style="font-size:12.8000001907349px">140.211.91.96 - - [11/Jun/2015:12:00:15 -0700] "GET /secure/?ticket=ST-1434049215356-bQFlSQIjEWXCgf1Pb94AQAtGt HTTP/1.1" 401 479</div><div style="font-size:12.8000001907349px"><br></div><div><div><span style="font-size:12.8000001907349px">[11/Jun/2015:12:00:08 -0700] 140.211.91.96 TLSv1.2 ECDHE-RSA-AES128-GCM-SHA256 "GET /secure/ HTTP/1.1" 350</span></div><div><span style="font-size:12.8000001907349px">[11/Jun/2015:12:00:15 -0700] 140.211.91.96 TLSv1.2 ECDHE-RSA-AES128-GCM-SHA256 "GET /secure/?ticket=ST-1434049215356-bQFlSQIjEWXCgf1Pb94AQAtGt HTTP/1.1" 479</span></div></div><div style="font-size:12.8000001907349px"><br></div><div style="font-size:12.8000001907349px">The Apache cert is still SHA1, the Shib cert is SHA2. I can upgrade the fore, if that is potential factor.</div></div><div><span style="font-size:12.8000001907349px"><br></span></div><div><span style="font-size:12.8000001907349px">Let me know what other information might be helpful or if I have clearly missed anything</span></div><div><span style="font-size:12.8000001907349px"><br></span></div><div><span style="font-size:12.8000001907349px">Thanks for your help!</span></div><div><span style="font-size:12.8000001907349px">Jesse<br clear="all"></span><div><div><div dir="ltr"><div><div dir="ltr"><div dir="ltr"><div dir="ltr"><div><div style="font-size:12.8000001907349px;color:rgb(136,136,136)"><span style="font-size:12.8000001907349px"><b><br></b></span></div><div style="font-size:12.8000001907349px;color:rgb(136,136,136)"><span style="font-size:12.8000001907349px"><b>Jesse Martinich</b></span></div><div style="font-size:12.8000001907349px;color:rgb(136,136,136)">Systems Administrator</div><div style="font-size:12.8000001907349px;color:rgb(136,136,136)"><font size="1">Southern Oregon University</font><span style="font-size:12.8000001907349px"> </span><font size="1">| 1250 Siskiyou Blvd </font><font size="1">| Ashland OR  97520</font><br></div><div style="font-size:12.8000001907349px;color:rgb(136,136,136)"><font size="1"><a href="tel:541-552-8424" value="+15415528424" target="_blank">541-552-8424</a></font></div><div style="font-size:12.8000001907349px;color:rgb(136,136,136)"><font size="1"><br></font></div><div style="font-size:12.8000001907349px;color:rgb(136,136,136)"><font size="1"><img src="https://docs.google.com/uc?export=download&id=0BwKjt2yacqt7UkNnWGxXaS1VUzQ&revid=0BwKjt2yacqt7bm9QbWZ5ejBHUWdZeGhGZ0VGWFVLTHFHb21BPQ"><br></font></div><div style="font-size:12.8000001907349px"><font size="1"><font color="#888888">Why I'm at SOU: <a href="https://www.youtube.com/watch?v=Ski0MzPd5IM" style="color:rgb(17,85,204)" target="_blank">https://www.youtube.com/watch?v=Ski0MzPd5IM</a></font></font></div></div></div></div></div></div></div></div></div>
</div></div>
</div><br></div>
--<br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.net</a></blockquote></div></div></div>