<div dir="ltr"><div class="gmail_quote"><div dir="ltr">On Mon, Feb 29, 2016 at 8:23 PM Paul B. Henson <<a href="mailto:henson@cpp.edu" target="_blank">henson@cpp.edu</a>> wrote:</div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
For an external redirect, I would point <a href="http://auth.cpp.edu" rel="noreferrer" target="_blank">auth.cpp.edu</a> at a system that would redirect any attempted access to <a href="https://auth.cpp.edu/cas/" rel="noreferrer" target="_blank">https://auth.cpp.edu/cas/</a> to <a href="https://idp.cpp.edu/idp/profile/cas/" rel="noreferrer" target="_blank">https://idp.cpp.edu/idp/profile/cas/</a>. What would CAS clients do in the face of such a redirect though? Would they follow it and function? Would they break? Would some work but others not?<br></blockquote><div><br></div></div><div dir="ltr"><div class="gmail_quote"><div>The /login URI is mediated by the browser, so redirects will be no problem there. The behavior on the /serviceValidate and /samlValidate, on the other hand, are back channel calls from the client code directly to the CAS server. Those are the ones that you'd have to test on a case-by-case basis. I am fairly certain the Java CAS client will work fine since it uses HttpURLConnection, which follows redirects by default [1]. I don't about the others offhand.</div></div></div><div dir="ltr"><div class="gmail_quote"><div> </div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
Any other suggestions on how to transparently accomplish this migration while maintaining single sign-on during the cutover?<br></blockquote><div><br></div></div></div><div dir="ltr"><div class="gmail_quote"><div>If the external redirect doesn't work for your set of clients, I'd focus on explaining to your management that you can't do the impossible. FWIW, we did what you proposed initially: stood up a new IdP that supported both and migrated services at their convenience to the new system. I think it's fair to say it went smoothly for everyone: users, sysadmins, and managers.</div><div><br></div><div>M</div><div><br></div><div>[1] <a href="https://docs.oracle.com/javase/7/docs/api/java/net/HttpURLConnection.html#setFollowRedirects(boolean)" target="_blank">https://docs.oracle.com/javase/7/docs/api/java/net/HttpURLConnection.html#setFollowRedirects(boolean)</a><a href="mailto:users-unsubscribe@shibboleth.net" target="_blank"></a><br>
</div><div><br></div></div></div></div>