<div dir="ltr"><div class="gmail_extra"><div class="gmail_quote">On Wed, Jan 27, 2016 at 4:16 PM, Cantor, Scott <span dir="ltr"><<a href="mailto:cantor.2@osu.edu" target="_blank">cantor.2@osu.edu</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;padding-left:1ex;border-left-color:rgb(204,204,204);border-left-width:1px;border-left-style:solid"><span>On 1/27/16, 10:08 AM, "users on behalf of Antony den Dulk" <<a href="mailto:users-bounces@shibboleth.net">users-bounces@shibboleth.net</a> on behalf of <a href="mailto:antony@selestiasolutions.com">antony@selestiasolutions.com</a>> wrote:<br>
<br>
<br>
><br>
><br>
>The reason not to send the information is so the Metadata becomes leading in determining endpoints.<br>
<br>
</span>The metadata is *never* the lead. It's a verifier. If you don't specify an endpoint, all you're doing is telling it to use the one in the metadata marked as a default. If you wanted the default endpoint used, it would already send that value in the request if it's appropriate to use for the resource being protected.<br></blockquote><div> </div><div>The IdP is not using the metadata in this way, it does not verify the URI that comes in a signed authentication request.</div><div> </div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;padding-left:1ex;border-left-color:rgb(204,204,204);border-left-width:1px;border-left-style:solid">
<span><br>
> The IdP supports both methods of Authentication Requests - they (the IdP developers) claim that both methods are in the SAML 2.0 spec (see<br>
><a href="https://docs.oasis-open.org/security/saml/v2.0/saml-core-2.0-os.pdf" target="_blank" rel="noreferrer">https://docs.oasis-open.org/security/saml/v2.0/saml-core-2.0-os.pdf</a> @ page 59 row 2061) and that an SP that does not support both is not implementing the spec properly (in their<br>
> opinion).<br>
<br>
</span>The two methods are Index and URL. Not sending either is functionally equivalent to using either method but with the value corresponding to the default.<br>
<br>
There is no requirement in SAML to support "send nothing",</blockquote><div> </div><div>Your understanding mirrors mine in this.</div><div> </div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;padding-left:1ex;border-left-color:rgb(204,204,204);border-left-width:1px;border-left-style:solid"> and the Shibboleth SP's implementation does not make that a viable approach because its endpoints MUST correspond to the vhost of the resource being protected, so it can't default, it has to make sure the response comes back to an endpoint suitable for the resource. So it derives the endpoint at runtime, sends it in the request, and relies on deployers ensuring the metadata contains them.<br></blockquote><div> </div><div>So even using by Index may break the system. Thanks for sending me the link in your other post.</div><div> </div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;padding-left:1ex;border-left-color:rgb(204,204,204);border-left-width:1px;border-left-style:solid">
<br>
Gateway SPs that convert SAML to other protocols and don't share cookies between endpoints and resources have more flexibility and often rely on a single endpoint, since the resource might be on a completely different server. My SP is not a gateway and does not function that way.<br>
</blockquote><div> </div><div>Good to know.</div><div> </div><div>Thanks for all the replies. I think I know enough to at least go a step further.</div><div> </div><div>Regards,</div><div>Antony</div></div></div></div>