<div dir="ltr">Yep you're correct and I agree! I'll be fixing the instance where HTTP-Redirect was used in the past.</div><div class="gmail_extra"><br><div class="gmail_quote">On Thu, Jan 19, 2017 at 11:34 AM, Tom Scavo <span dir="ltr"><<a href="mailto:trscavo@gmail.com" target="_blank">trscavo@gmail.com</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><span class="">On Thu, Jan 19, 2017 at 2:13 PM, Mark Watson <<a href="mailto:mjw4tson@gmail.com">mjw4tson@gmail.com</a>> wrote:<br>
><br>
> It seems like some identity providers are ok with accepting the<br>
> HTTP-Redirect as an AssertionConsumerService as I've gotten unsigned<br>
> assertions working using HTTP-Redirect on ADFS.<br>
<br>
</span>Let me see if I understand. As the SP owner, you share metadata with<br>
AD FS that contains an AssertionConsumerService endpoint that supports<br>
the HTTP-Redirect binding but nothing more. Likewise your SP is<br>
configured to send an AuthnRequest to the IdP that identifies the<br>
HTTP-Redirect endpoint as your preferred return endpoint. Then AD FS<br>
does exactly that---it sends the Response to your HTTP-Redirect<br>
endpoint via HTTP redirect. Is that correct?<br>
<br>
If so, you're lucky that works. According to the SAML Web Browser<br>
Profile, HTTP-Redirect is specifically not allowed as an inbound<br>
binding at the SP. The AD FS IdP should not honor your request. Like<br>
TestShib, it should return an error.<br>
<div class="HOEnZb"><div class="h5"><br>
Tom<br>
--<br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.<wbr>net</a><br>
</div></div></blockquote></div><br></div>