<div dir="ltr">So, for clarity, the REMOTE_USER is a server level variable that I have to set on the server in order for RemoteAuth to work, is that correct? The documentation isn't very clear on what REMOTE_USER is.<div><br></div><div>If this is the case, I could write some code that sits on the IDP server and does the username/password check against the database and sets the appropriate server variable upon success so the credentials never leave the server.</div><div><br></div><div>If I were to do this, would the setup on Shibboleth as an IDP look like?  Would I be using remoteAuth to point to an end point on the same server? Would that process then forward back to Shibboleth to complete the process?</div><div><br></div><div><br></div></div><div class="gmail_extra"><br><div class="gmail_quote">On Fri, Dec 11, 2015 at 1:07 PM, Cantor, Scott <span dir="ltr"><<a href="mailto:cantor.2@osu.edu" target="_blank">cantor.2@osu.edu</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><span class="">On 12/11/15, 12:48 PM, "Cantor, Scott" <<a href="mailto:cantor.2@osu.edu">cantor.2@osu.edu</a>> wrote:<br>
<br>
<br>
><br>
>Not unless you have already integrated that authentication process with a web server. You can't just redirect over and back. That's SSO, that's a totally different kind of approach.<br>
<br>
</span>In point of fact, what you're trying to do is quite complex. You can't offload authentication from a web server entirely (the one running the IdP) without simply deploying another SSO protocol between the servers. That's not a simple or trivial thing to do, but if you really must do that, you'll probably want to use a scheme involving a simple shared secret and an HMAC to redirect a signed parameter containing the username back.<br>
<br>
Having cooked up a scheme to do it, you can either write code outside the IdP (a filter) to populate REMOTE_USER or a header, and use the RemoteUser flow, or you can build a JSP or servlet and to mediate and use the External flow.<br>
<br>
Those are your options.<br>
<div class="HOEnZb"><div class="h5"><br>
-- Scott<br>
<br>
--<br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.net</a><br>
</div></div></blockquote></div><br></div>