<div dir="ltr">Thank you for the explanations, it helped us a lot to understand better this flow. <div><div><div><div><div><div>-Vedran</div><div><span style="font-size:12.8px"><br></span></div></div></div></div></div></div></div><div class="gmail_extra"><br><div class="gmail_quote">On 29 September 2016 at 14:49, Cantor, Scott <span dir="ltr"><<a href="mailto:cantor.2@osu.edu" target="_blank">cantor.2@osu.edu</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><span class="">On 9/29/16, 2:47 AM, "users on behalf of Vedran Bartonicek" <<a href="mailto:users-bounces@shibboleth.net">users-bounces@shibboleth.net</a> on behalf of <a href="mailto:vbartoni@gmail.com">vbartoni@gmail.com</a>> wrote:<br>
<br>
> Is this what is happening (roughly)?<br>
>    1) ECP makes request to protected URL at SP<br>
>    2) ECP is redirected by SP to IdP for authentication (/idp/profile/SAML2/SSO/<wbr>Redirect)<br>
<br>
</span>No, it's redirected to the SOAP SSO endpoint that implements the ECP profile. It's also not a redirect, the client is a SOAP intermediary that has to know what that endpoint is.<br>
<span class=""><br>
>    3) Container (Jetty, Tomcat) authenticates client cert, and let's the request to<br>
> /idp/profile/SAML2/SSO/<wbr>Redirect<br>
<br>
</span>Excepting that that's not the right path, yes.<br>
<span class=""><br>
>    4) IdP returns IdP session cookie to ECP + redirects it  to SP<br>
<br>
</span>Again, no redirect.<br>
<br>
Otherwise, basically that's true.<br>
<span class=""><br>
> But also this looks like not that good idea (at least using the ECP in stead of browser)<br>
> since likely we will be on our own to implement and configure the whole thing.<br>
<br>
</span>I have no idea what you do or don't need to implement, but you have no business using a browser binding/profile for a non-browser client unless you control the client and the IdP. Screen scraping is a bad idea, but if you control both ends, you're in control of whether it works and stays working. What makes it a bad idea is that people who control both ends still end up breaking screen scraping clients because they don't even realize what they've done.<br>
<div class="HOEnZb"><div class="h5"><br>
-- Scott<br>
<br>
<br>
--<br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.<wbr>net</a><br>
</div></div></blockquote></div><br></div>