<div dir="ltr">Excellent. I didn't realize Amazon lets you choose which account/role to use upon login. This works perfectly.<div><br></div><div>Thanks, all, for the responses.</div><div><br></div><div>Jason</div><div><br></div></div><div class="gmail_extra"><br><div class="gmail_quote">On Wed, Oct 4, 2017 at 12:01 PM, Wessel, Keith <span dir="ltr"><<a href="mailto:kwessel@illinois.edu" target="_blank">kwessel@illinois.edu</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">We've just baked the account number into the group name in our directory. We can then map users to different, or in some cases, multiple accounts with our attribute definition. If the user is in multiple accounts and/or roles, AWS lets them choose upon login. I can't see a reason to have separate login links.<br>
<br>
Keith<br>
<br>
<br>
-----Original Message-----<br>
From: users [mailto:<a href="mailto:users-bounces@shibboleth.net">users-bounces@<wbr>shibboleth.net</a>] On Behalf Of Cantor, Scott<br>
Sent: Wednesday, October 04, 2017 10:57 AM<br>
To: Shib Users <<a href="mailto:users@shibboleth.net">users@shibboleth.net</a>><br>
Subject: Re: Shib with Multiple AWS Accounts<br>
<br>
On 10/4/17, 11:52 AM, "users on behalf of Jason Rotunno" <<a href="mailto:users-bounces@shibboleth.net">users-bounces@shibboleth.net</a> on behalf of <a href="mailto:jrotunno@swarthmore.edu">jrotunno@swarthmore.edu</a>> wrote:<br>
<br>
> We have some other AWS accounts that I'd like to integrate with Shib as well, and I'm trying to figure out how to populate the<br>
> awsRoles attribute with different account numbers based on which AWS account is being accessed.<br>
<br>
Amazon has one entityID for the entire platform and a standard request is not going to differentiate accounts. I suppose you could bake in something proprietary into the system to signal this but that's heavy work that would have involve webflow customization if not even deeper manipulation of the system.<br>
<br>
The Amazon design is that you send everything in all cases, all accounts, and all roles. It's their limitation. I haven't seen any compelling reason to waste my time on it. What exactly are you trying to avoid doing? Do you really expect a given user to be accessing hundreds of accounts?<br>
<br>
-- Scott<br>
<span class="HOEnZb"><font color="#888888"><br>
<br>
--<br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.<wbr>net</a><br>
--<br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.<wbr>net</a><br>
</font></span></blockquote></div><br><br clear="all"><div><br></div>-- <br><div class="gmail_signature" data-smartmail="gmail_signature"><div dir="ltr"><div><div dir="ltr"><div dir="ltr"><pre cols="72">Jason Rotunno
System & Security Administrator
Swarthmore College
500 College Ave
Swarthmore, PA 19081
610.328.8505<br></pre><pre cols="72">Think BEFORE You Click!! Emails from Swarthmore College ITS won't be in your
Quarantine or Spam folder. We won't threaten you either! If you
receive any phishing emails, please forward them to <a href="mailto:phishing@swarthmore.edu" target="_blank">phishing@swarthmore.edu</a>.<br></pre></div></div></div></div></div>
</div>