<div dir="ltr">And now I understand, me,  why you have difficulties to accept the solution of One SP with Multiple IDP. I was so engaged on the technical part (Shibolleth) that I didn't realize that it's not possible.<br>As you have said we can't have SSO for the simple reason: The session cookies can't be sent to another vhost  because they have different FQDN and at the end, the only thing that associate me the user with a session in Server is Cookies. So I'm in trouble.<div>We can say then it's impossible to have SSO with one SP and multiple FQDN. So a solution for my case could be to make some proxy where I could send a cookie when I'm authenticated and if not it will resend me to the right IDP. Can we do this in Shibboleth? I mean I know there's IDP Discovery but can it work by taking into account parameters (in header or  in request GET or POST). For example, if I pass <a href="http://site1.com">site1.com</a> it will redirect me to <a href="http://idp.site1.com">idp.site1.com</a> and so on? Or if I pass the <a href="http://idp.site1.com">idp.site1.com</a> it will send me to it?</div><div><br></div><div>Thank you again, you helped me to realize something basic but easily<span style="font-size:13px;color:rgb(64,64,64);font-family:Arial,Helvetica,sans-serif;line-height:19.5px;background-color:rgb(248,248,248)"> </span><span style="font-size:13px;color:rgb(64,64,64);font-family:Arial,Helvetica,sans-serif;line-height:19.5px;background-color:rgb(248,248,248)"></span><span class="" style="font-size:13px;color:rgb(64,64,64);font-family:Arial,Helvetica,sans-serif;line-height:19.5px;background-color:rgb(248,248,248)">forgotten</span></div></div><div class="gmail_extra"><br><div class="gmail_quote">2016-05-17 17:37 GMT+02:00 Peter Schober <span dir="ltr"><<a href="mailto:peter.schober@univie.ac.at" target="_blank">peter.schober@univie.ac.at</a>></span>:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">* reda sabir <<a href="mailto:sabiretude@gmail.com">sabiretude@gmail.com</a>> [2016-05-17 17:06]:<br>
<span class="">> I can assure that we are now converging to the right understanding of the<br>
> problem. As you have commented, there's two possibilities for the project :<br>
><br>
</span>>    - Multiple SP and One IDP<br>
>    - Multiple IdP and One SP<br>
<br>
Plus the obvious one (it's really just one SP and one IDP, as it turns<br>
out), but that doesn't match your "requirements" to make this appear<br>
much more complicated. :-\<br>
<span class=""><br>
> That's why we should stay with multiple vhost with one SP (the<br>
> entityID is never overrided, only SSO part and metadata of the idp<br>
> is changed).<br>
<br>
</span>There won't be much SSO'ing, though, even if you allow any subject to<br>
use any IDP to access any of the vhosts: When all IDPs are separate<br>
and each vhost at the SP defaults to a specific, different IDP, the<br>
subject would be sent to different IDPs all the time (by design, since<br>
you create one vhost per one IDP, per your earlier description).<br>
And at each IDP she wouldn't have an established SSO session with that<br>
IDP.<br>
Neither will there be session re-use on the SP side, since session<br>
cookies are by default scoped to the vhost and therfore will not<br>
overlap in your setup.<br>
<br>
Anyway, looks like you now know what you need to do? Add metadata<br>
about IDPs to the SP, add content setting for IDP pre-selection, done.<br>
<div class="HOEnZb"><div class="h5">-peter<br>
--<br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.net</a><br>
</div></div></blockquote></div><br></div>