<div dir="ltr">We're currently using the RemoteUser authentication handler in conjunction with our campus SSO (Cosign).  I'm trying to replicate our SSO's current timeouts (4hrs idle, 12hrs hard), with the hope of more predictable session behavior (and as part of the long time goal to replace RemoteUser + external SSO with shib native authentication).<div><br></div><div>I've been looking the comments in idp.properties, and in the wiki, especially at...</div><div><div><a href="https://wiki.shibboleth.net/confluence/display/IDP30/SessionConfiguration">https://wiki.shibboleth.net/confluence/display/IDP30/SessionConfiguration</a> <a href="https://wiki.shibboleth.net/confluence/display/IDP30/AuthenticationConfiguration">https://wiki.shibboleth.net/confluence/display/IDP30/AuthenticationConfiguration</a></div></div><div><br></div><div>In IDPv2, it looks like the recommendation would have been to disable the IDP sessions completely and let the external SSO handle it (as is suggest with the Unicon external CAS handler).<br></div><div><br></div><div>In IDPv3, we have "idp.sessions.enabled = true" because we need it to support the SLO functionality.</div><div><br></div><div>These seem like appropriate values..</div><div>idp.authn.defaultTimeout=PT4H<br></div><div><div>idp.authn.defaultLifetime=PT12H</div></div><div><div>idp.session.defaultSPlifetime = PT12H</div></div><div><br></div><div>My question is re: idp.session.timeout.  In idp.properties, it has the descriptive comment of "Inactivity timeout", which suggests that our four hour idle timeout period would be appropriate.</div><div><br></div><div>But... the session docs include the comment "IDP session must be at _least_ as long as longest authn result lifetime", which suggests twelve hour period.</div><div><br></div><div>If idp.session.timeout is an inactivity timeout, why must it be at least as long as the longest authn result lifetime?</div><div><br></div><div>Liam</div><div><br></div></div>