<div dir="ltr"><div>Hey guys,</div><div><br></div><div>We have two applications running on the same domain (different sub-domains) that both need to be protected by Shibboleth authentication.  The goal for the Shibboleth configuration is to allow for Single Sign On between the two applications (user enters credentials once and gains access to both sites).</div><div><br></div><div>The two applications are a Drupal site (PHP) and a <a href="http://dataverse.org/">Dataverse</a> instance (JAVA).  I've attempted to configure the SP for both resources using a single entity ID, and ran into a problem because of an attributePrefix configuration.</div><div><br></div><div><ins>Steps performed</ins><br> Followed the example of setting up a Shared Entity SP as described here:<br><a class="external-link" href="https://docs.shib.ncsu.edu/docs/advanced/spscale.html" rel="nofollow"><u><font color="#0066cc">https://docs.shib.ncsu.edu/docs/advanced/spscale.html</font></u></a><br> Configured our IdP to bypass endpoint checks when the request is signed, as described here:<br><a class="external-link" href="https://docs.shib.ncsu.edu/docs/advanced/bypassends.html" rel="nofollow"><u><font color="#0066cc">https://docs.shib.ncsu.edu/docs/advanced/bypassends.html</font></u></a><br> Config changes made, as per the documentation from the NCSU page:</div><div><ul><li>/etc/shibboleth/shibboleth2.xml- added <em>signing="true"</em> to ApplicationDefaults tag</li><li>/opt/shibboleth-idp/conf/relying-party.xml- added <em>skipEndpointValidationWhenSigned="true"</em></li></ul><p><ins>Analysis</ins><br> After the configuration changes above were made, Shibboleth login worked for Drupal but not for Dataverse. A Shibboleth session was created correctly when the login attempt was made from either application. However, auto-login did not work for Dataverse, although it did work correctly for the Drupal site.</p><p>I realized the reason that the above configuration did not work for Dataverse is because of the attributePrefix defined in the ApplicationDefaults config for Dataverse:<br>< ApplicationDefaults entityID="<a class="external-link" href="https://dv.stage.qdr.org/shibboleth" rel="nofollow"><font color="#0066cc">https://dv.stage.qdr.org/shibboleth</font></a>" REMOTE_USER="eppn" <strong>attributePrefix="AJP_"</strong>></p><p>The Dataverse application is coded to use an attribute prefix for Shibboleth attributes, whereas Drupal is not.  Considering this, is a Shared Entity SP configuration possible?  Or do I need to configure our SP to use individual entity IDs for Drupal and Dataverse, so that the configuration for these two resources can be different- one with an attributePrefix and one without?</p><p>I've been able to successfully configure the SP with two different entity IDs (see attached shibboleth2.xml file) however this does not create a working configuration for Single Sign On because if a user is authenticated for one of the sites he is not recognized as logged-in after navigating to the other site.</p><p>Please advise on the best way to configure the Shibboleth SP and IdP for SSO authentication for our two applications.</p><p>Thanks in advance,</p><p>Alex</p><p><br></p></div></div>