<div dir="ltr"><div class="gmail_extra"><div class="gmail_quote">On Wed, Jan 27, 2016 at 3:54 PM, Cantor, Scott <span dir="ltr"><<a href="mailto:cantor.2@osu.edu" target="_blank">cantor.2@osu.edu</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;padding-left:1ex;border-left-color:rgb(204,204,204);border-left-width:1px;border-left-style:solid"><span>On 1/27/16, 8:55 AM, "users on behalf of Peter Schober" <<a href="mailto:users-bounces@shibboleth.net">users-bounces@shibboleth.net</a> on behalf of <a href="mailto:peter.schober@univie.ac.at">peter.schober@univie.ac.at</a>> wrote:<br>
<br>
<br>
<br>
>* Antony den Dulk <<a href="mailto:antony@selestiasolutions.com">antony@selestiasolutions.com</a>> [2016-01-27 13:28]:<br>
>> I have received the following from another person using Shibboleth:<br>
>> "SAML 2.0 specifies different methods to assert an authentication request.<br>
>> Shibboleth out-of-the-box uses the method called 'non-specified' while our<br>
>> system uses the 'basic' method."<br>
><br>
>At last I have never heard anyone talk about auth requests in those terms.<br>
<br>
</span>They don't exist, there's no such SAML terminology.<br></blockquote><div> </div><div>That is what you get when talking to managers, I take it someone was trying to explain the system in simple terms for them.</div><div> </div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;padding-left:1ex;border-left-color:rgb(204,204,204);border-left-width:1px;border-left-style:solid">
<span><br>
>>Seemingly the one of the differences between the 2 methods is that when<br>
>> sending an authentication request the 1st method (Shibboleth standard)<br>
>> sends the AssertionConsumerServiceURL while the basic does not. The effect<br>
>> of the 2nd method is that the Metadata is used to determine the<br>
>> AssertionConsumerServiceURL allowing the setup of various reverse-proxy<br>
>> scenaries.<br>
<br>
</span>There are three ways to specify the URL:<br>
<br>
- by value<br>
- by index<br>
- omitted and left to a default<br>
<br>
Not sending one is the opposite of "allowing set up of virtual proxy scenarios", because then the IdP has only one choice of URL to use and it will usually be the wrong one.<br>
<br>
By definition if you wanted the IdP to use a specific default URL, it is equivalent to simply asking it to use that URL. This is pretty much common sense.<br>
</blockquote><div> </div><div>The third option is what I was asked to use by the admin of the IdP (at least from what I understood from him). "By Value" is the actual URI to use and "By Index" is using an identifier that lets the IdP know which URI to use from the Metadata? Correct me if my understanding is incorrect.</div><div> </div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;padding-left:1ex;border-left-color:rgb(204,204,204);border-left-width:1px;border-left-style:solid"><span><br>
>The downside of not sending the endpoint being that (unless the authn<br>
>request is signed) the IDP has no chance to verify that the location it<br>
>should send the response to is legit and belongs to the SP in question<br>
>(as Issuer of the request). Such a check is not optional according to<br>
>the spec, IIRC.<br>
<br>
</span>Not sending it just tells the IdP to use the isDefault="true" endpoint in metadata, so it's equivalent. The one that's horrible is by index, because that relies on a parity between the indexing the SP did and the indexes in the metadata, and that's horrible coupling. We used to do that in Shibboleth SPs and I realized it was a big mistake and changed it. The IdP still supports it, always has.<br>
<span><br>
>> I have heard from another person that there is a way to arrange this in<br>
>> Shibboleth but they do not have details on how.<br>
<br>
</span>There is, IIRC, no way to get an SP to issue a request with nothing in those two attributes. It will either specify the endpoint by value or index.<br></blockquote><div> So Shibboleth does not support option 3, which means I need to use one of the other two. "By Value" I take it is the standard, if I want to switch it to "By Index" (even though it is horrible) what do I need to do (link to documentation would be great)?</div><div> </div><div>Thanks for the help,</div><div>Antony</div></div></div></div>