<div dir="ltr"><div dir="ltr" class="gmail_msg"><div dir="ltr" class="gmail_msg">Ok, so what is the best approach to authenticate/authorize users of a mobile application against a Shibboleth IDP? It doesn't look like it supports AppAuth, OpenID Connect or OAuth2...</div><div dir="ltr" class="gmail_msg"><br></div><div class="gmail_msg">i might have to go with the system browser redirect to intent URL with encoded token.</div></div><div dir="ltr" class="gmail_msg"><br class="gmail_msg"><div class="gmail_quote gmail_msg"><div dir="ltr" class="gmail_msg">On Wed, Jan 4, 2017 at 11:57 AM Cantor, Scott <<a href="mailto:cantor.2@osu.edu" class="gmail_msg" target="_blank">cantor.2@osu.edu</a>> wrote:<br class="gmail_msg"></div><blockquote class="gmail_quote gmail_msg" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">On 1/4/17, 11:50 AM, "users on behalf of Andrew Watson" <<a href="mailto:users-bounces@shibboleth.net" class="gmail_msg" target="_blank">users-bounces@shibboleth.net</a> on behalf of <a href="mailto:andrew.watson@makeandbuild.com" class="gmail_msg" target="_blank">andrew.watson@makeandbuild.com</a>> wrote:<br class="gmail_msg">
<br class="gmail_msg">
> It seems like the most logical approach would be to use something like the OAuth2 Password grant<br class="gmail_msg">
> (<a href="http://oauthlib.readthedocs.io/en/latest/oauth2/grants/password.html" rel="noreferrer" class="gmail_msg" target="_blank">http://oauthlib.readthedocs.io/en/latest/oauth2/grants/password.html</a>) where<br class="gmail_msg">
>  I'd take credentials from the user in the native app and exchange them for an access token<br class="gmail_msg">
> which expires after X seconds.<br class="gmail_msg">
<br class="gmail_msg">
That's simply the OAuth version of ECP, but it's not advisable. That precludes any more advanced forms of authentication without ugly workarounds and it destroys the branding and security measures that organizations take to at least try to limit phishing. It also presumes support for that profile by the authenticating organization, and that's exactly the sort of coupling that using the browser avoids.<br class="gmail_msg">
<br class="gmail_msg">
-- Scott<br class="gmail_msg">
<br class="gmail_msg">
<br class="gmail_msg">
--<br class="gmail_msg">
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" class="gmail_msg" target="_blank">users-unsubscribe@shibboleth.net</a><br class="gmail_msg">
</blockquote></div></div></div><div dir="ltr">-- <br></div><div data-smartmail="gmail_signature"><div dir="ltr">--<div>Andy Watson</div><div>Make and Build</div></div></div>