<div dir="ltr"><br><div class="gmail_extra"><br><div class="gmail_quote">On Mon, Dec 19, 2016 at 8:03 AM, Tom Scavo <span dir="ltr"><<a href="mailto:trscavo@gmail.com" target="_blank">trscavo@gmail.com</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">On Fri, Dec 16, 2016 at 11:25 AM, Scott Koranda <<a href="mailto:skoranda@gmail.com">skoranda@gmail.com</a>> wrote:<br>
><br>
> In the context of large higher education federations you can<br>
> run into the issue that a few IdPs might advertise an artifact<br>
> binding even when the IdP does not support it.<br>
<br>
Of the 2279 entities with an IdP role in InCommon metadata, zero of<br>
them have a SAML2 HTTP-Artifact endpoint. I must be missing something.<br>
<br>
On the other side of the equation, there are 605 entities with an SP<br>
role and a SAML2 ArtifactResolutionService endpoint (none of which are<br>
registered by InCommon), which means that that endpoint has most<br>
likely never been exercised.<br>
<span class="gmail-HOEnZb"><font color="#888888"><br></font></span></blockquote><div><br></div><div>Here is a concrete LIGO example.</div><div><br></div><div>You can browse to</div><div><br></div><div><a href="https://www.lsc-group.phys.uwm.edu/ligovirgo/cbcnote/">https://www.lsc-group.phys.uwm.edu/ligovirgo/cbcnote/</a></div><div><br></div><div>In the discovery service choose Cornell. You will see that the <AuthnRequest> sent to the IdP leverages the artifact protocol (look at the ACS URL). Note that the Cornell IdP consumes the request because it does support artifact (thank you Cornell).</div><div><br></div><div>Do it again but now choose the University of Wisconsin-Milwaukee IdP. You will see that the request sent to that IdP leverages HTTP-POST, which is good because the UWM IdP does not support artifact resolution. And they do not advertise an artifact resolution endpoint in metadata (thank you UWM).</div><div><br></div><div>The Shibboleth SP makes this possible. We have never had a problem with it except when the IdP does advertise an artifact resolution endpoint in metadata but does not actually support it. In that case the browser dies at the IdP.</div><div><br></div><div>Thanks,</div><div><br></div><div>Scott K</div></div></div></div>