<div dir="ltr">Hi Scott,<div><br><div>Thanks for the reply</div><div><br></div><div>For below "SAML2.SSO" i want to dynamically set the p:authenticationFlows,Shibcas for all the OS except mac and Password flow for Mac</div><div><br></div><div>I had a look <a href="https://wiki.shibboleth.net/confluence/display/IDP30/RelyingPartyConfiguration#RelyingPartyConfiguration-OverridingDefaultSettingsDynamically3.3">https://wiki.shibboleth.net/confluence/display/IDP30/RelyingPartyConfiguration#RelyingPartyConfiguration-OverridingDefaultSettingsDynamically3.3</a></div><div><br></div><div>but cannot see any sample, with deals with servlet request etc....</div><div><br></div><div>Any other sample or guidance appreciated, so that I can have head start.     can we do inline.?</div><div><br></div><div>Also can you give some reference on '<span style="font-size:12.8px">CAS support in the IdP' eventhough I consider it as not practical, because our current CAS page initiates other pwd management flows in addition to the authentication.</span></div><div><br></div><div><br></div><div><div> <bean parent="RelyingPartyByName"  c:relyingPartyIds="urn:federation:MicrosoftOnline"></div><div>            <property name="profileConfigurations"></div><div>                <list></div><div>         <bean parent="SAML2.SSO" p:encryptAssertions="false" p:signAssertions="true" p:signResponses="false" p:encryptNameIDs="false" p:authenticationFlows="#{{'Shibcas'}}" /></div><div>         <bean parent="SAML2.ECP" p:encryptAssertions="false" p:signAssertions="true" p:signResponses="false" p:nameIDFormatPrecedence="urn:oasis:names:tc:SAML:2.0:nameid-format:persistent" p:authenticationFlows="#{{'Password'}}"  /></div><div>                </list></div><div>            </property></div><div>        </bean></div></div><div><br></div><div><br></div><div>Thanks</div></div></div><div class="gmail_extra"><br><div class="gmail_quote">On Fri, Aug 4, 2017 at 9:15 AM, Cantor, Scott <span dir="ltr"><<a href="mailto:cantor.2@osu.edu" target="_blank">cantor.2@osu.edu</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><span class="">On 8/3/17, 6:35 PM, "users on behalf of Lalith Jayaweera" <<a href="mailto:users-bounces@shibboleth.net">users-bounces@shibboleth.net</a> on behalf of <a href="mailto:ljayaweera@gmail.com">ljayaweera@gmail.com</a>> wrote:<br>
<br>
> If we change this SP to use Password flow, they will be presented with the IDP login screen, not CAS login screen hence it is not<br>
> SSO and user experience will be different.<br>
<br>
</span>I forgot that all the O365 traffic would be handled the same way. I should also say that our people at OSU refused to use Shibboleth for O365 and are using ADFS, so we have two experiences now, no SSO, and the world didn't exactly end. Nobody much cares based on the reaction so far.<br>
<br>
Or you could use the CAS support in the IdP. There is little sense in running two systems at this point in their mutual evolution.<br>
<br>
However...<br>
<span class=""><br>
> So my question is, given this is only happening in Mac, at least to narrow down the issue, within the relying party, is there any way<br>
> to detect whether request from Mac etc (possibly via userAgent or by othermeans) and direct to the Password Flow, I don't<br>
> think any need of SSO for this particular function where all happening inside a embedded window.<br>
<br>
</span>I don't know what you could detect reliably or not, but if you want to dynamically derive the value of the authenticationFlows property at runtime to limit when it flips over the "Password", yes, you can do that. That's documented with examples in the wiki in the page on RelyingPartyConfiguration under "Overriding Default Settings Dynamically". Functions/scripts deriving settings can be given access to the servlet request object as a custom object and from there do user agent evaluation, etc.<br>
<span class=""><br>
> As a side note, I am going to query(raise an incident) Microsoft about this particular behavior happening inside Embedded UI<br>
> view, however I might not have a answer if they ask, what exactly the cookies you think missing etc.<br>
<br>
</span>The only person who could answer that is you because you are the one with access to the affected systems and the access to trace the traffic sequence. Usually even Firefox and LiveHeaders alone are good enough to spot cookies dropping.<br>
<div class="HOEnZb"><div class="h5"><br>
-- Scott<br>
<br>
<br>
--<br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.<wbr>net</a><br>
</div></div></blockquote></div><br></div>