<div dir="ltr"><div class="gmail_default" style="font-family:trebuchet ms,sans-serif">Thanks Peter/Scott. </div><div class="gmail_default" style="font-family:trebuchet ms,sans-serif"><br></div><div class="gmail_default" style="font-family:trebuchet ms,sans-serif">I will probably go with something like this. </div><div class="gmail_default" style="font-family:trebuchet ms,sans-serif"><br></div><div class="gmail_default" style="font-family:trebuchet ms,sans-serif">- Each server with 2 NICs and separate IPs for each. </div><div class="gmail_default" style="font-family:trebuchet ms,sans-serif">- IdP will be bound to 1 NIC and Apache httpd to another NIC.</div><div class="gmail_default" style="font-family:trebuchet ms,sans-serif">- Shibbolet SP for Apache httpd configured to authenticate against IdP.</div><div class="gmail_default" style="font-family:trebuchet ms,sans-serif"><br></div><div class="gmail_default" style="font-family:trebuchet ms,sans-serif">Guess this should work. </div><div class="gmail_default" style="font-family:trebuchet ms,sans-serif"><br></div><div class="gmail_default" style="font-family:trebuchet ms,sans-serif">Thanks again for your help.</div><div class="gmail_default" style="font-family:trebuchet ms,sans-serif"><br></div></div><div class="gmail_extra"><br><div class="gmail_quote">On 24 March 2016 at 19:59, Peter Schober <span dir="ltr"><<a href="mailto:peter.schober@univie.ac.at" target="_blank">peter.schober@univie.ac.at</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">* Prashant Bapat <<a href="mailto:prashant@apigee.com">prashant@apigee.com</a>> [2016-03-24 06:33]:<br>
<span class="">> Essentially IdP and SP in same box.<br>
<br>
</span>That is your answer. There's nothing special to it, other than the<br>
fact that there's no Shib SP for Java, so if Tomcat is your (only) web<br>
server you'd have to move that behind e.g. Apache httpd and tunnel<br>
everything through httpd via AJP.<br>
<br>
(Nothing stops you from using a different SAML SP implementation, of<br>
course, if you'd rather not change anything about your IDP.)<br>
<br>
I did this many years ago (with a trivial Perl CGI page protected by<br>
the Shib SP), mostly to allow us to promote people bookmarking "the<br>
IDP" (when it really is an SP), instead of telling them not to<br>
bookmark the IDP login page (which meanwhile was made much easier and<br>
the IDP now by default detects such requsts and can give appropriate<br>
comments).<br>
Starting SSO at a bookmarked location also seemed more secure than<br>
letting some website redirect you to (hopefully) the right login page.<br>
<br>
Initially that SP also had a list of available applications, but that<br>
soon grew unweildy, with the number of services growing.<br>
<br>
Different groups within the institution than had issues with that<br>
approach for different reasons, and while the SP at the IDP is still<br>
there, it doesn't do anything these days, other than presenting you a<br>
"login" link (before authn) or a mostly useless statement that you<br>
have now established an SSO session and can go off and access desired<br>
services directly, like you did before.<br>
<span class="HOEnZb"><font color="#888888"><br>
-peter<br>
</font></span><div class="HOEnZb"><div class="h5">--<br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.net</a><br>
</div></div></blockquote></div><br></div>