<div dir="ltr">Shibb developers have built in enormous flexibility into the IdP so you no doubt implement such a restriction in the IdP, the simplest way I thought of is Scott's, including the membership in the LDAP search during the initial authentication (if using jaas.config, userFilter="(&(<span style="font-variant-ligatures:no-common-ligatures;color:rgb(0,0,0);font-family:menlo">sAMAccountName</span>={user})(memberOf=CN=MyGroup,<wbr>CN=Users,DC=umass,DC=net)".<div><br></div><div>One issue is that that tactic in itself will result in failed authentication if the user isn't in the group, without indication to user of why or what to do about it. </div><div><br></div><div>Wouldn't it be preferable to have the IdP release an appropriate set of memberOf values to the SP, and let the SP do authorization and respond appropriately to the user: "You authenticated, but you do not have access to this service; here's why or what you do about that..."?</div><div><br></div><div>David Bantz</div><div>UA OIT IAM</div></div><div class="gmail_extra"><br><div class="gmail_quote">On Tue, May 2, 2017 at 3:10 PM, Cantor, Scott <span dir="ltr"><<a href="mailto:cantor.2@osu.edu" target="_blank">cantor.2@osu.edu</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><span class="">On 5/2/17, 6:36 PM, "users on behalf of Daniel McDonald" <<a href="mailto:users-bounces@shibboleth.net">users-bounces@shibboleth.net</a> on behalf of <a href="mailto:daniel.mcdonald@umb.edu">daniel.mcdonald@umb.edu</a>> wrote:<br>
<br>
> We'd like to limit who's logging into shibboleth based on not only their<br>
> password, but if they're in a group as well.<br>
<br>
</span>Then why don't you change your LDAP filter in the authentication check to exclude entries that aren't in the group?<br>
<span class=""><br>
> I can return the "memberOf" attribute with a list of the users groups. I<br>
> hoped that putting this in the ldap search filter would work but it didnt:<br>
<br>
</span>That looks like it's from the attribute resolver. How would that impact authentication?<br>
<span class="HOEnZb"><font color="#888888"><br>
-- Scott<br>
</font></span><div class="HOEnZb"><div class="h5"><br>
<br>
--<br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.<wbr>net</a><br>
</div></div></blockquote></div><br></div>