
<html>

<head>

<meta http-equiv="Content-Type" content="text/html; charset=us-ascii">

</head>

<body style="word-wrap: break-word; -webkit-nbsp-mode: space; -webkit-line-break: after-white-space;" class="">

<div style="word-wrap: break-word; -webkit-nbsp-mode: space; -webkit-line-break: after-white-space;" class="">

<br class="">

<div class="">

<blockquote type="cite" class="">

<div class="">On 28 Nov 2017, at 22:03, Steven Carmody <<a href="mailto:steven_carmody@brown.edu" class="">steven_carmody@brown.edu</a>> wrote:</div>

<br class="Apple-interchange-newline">

<div class="">

<div class="">Hi,<br class="">

<br class="">

I'm passing along a question from the local team that manages our F5 VPN service. We've been using Shib to access the VPN for a while.<br class="">

</div>

</div>

</blockquote>

<div class=""><br class="">

</div>

Does it mean that the F5 BigIP is the SP in this case ?</div>

<div class=""><br class="">

<blockquote type="cite" class="">

<div class="">

<div class="">However, they're looking for help and suggestions for retrieving the attributes from the SAML Assertion and using them -- here's what they say:<br class="">

<br class="">

<blockquote type="cite" class="">Shib does provide the attribute but F5 cannot read it to authorize the user. We could create complicated custom irule to read the attributes from Shib. It is easier and cleaner to use the LDAP authorization existing module on

 F5. Please let me know if you know people from other schools who have created irules to read the attributes from Shib for authorization.<br class="">

</blockquote>

<br class="">

Has any campus created the irules they're referring to, and would be willing to share a model ?<br class="">

</div>

</div>

</blockquote>

</div>

<br class="">

<div class="">We are using the F5 BigIP as SP to protect some ressources. In that case the APM module (handling SAML) exposes the attributes sent by the IdP in session variables and you can use them in the APM workflow for authorization.</div>

<div class="">Here is an extract from a session view. all the attr.xxxx are attributes sent by the IdP.</div>

<div class=""><br class="">

</div>

<div class=""><a href="https://www.dropbox.com/s/4qqzowpfk1r4d0y/Screen%20Shot%202017-11-29%20at%2010.51.26.png?dl=0" class="">https://www.dropbox.com/s/4qqzowpfk1r4d0y/Screen%20Shot%202017-11-29%20at%2010.51.26.png?dl=0</a></div>

<div class=""><br class="">

</div>

<div class="">You can use those attributes in iRules or in the APM policy editor (your F5 people will know)</div>

<div class="">Here is an exemple of un iRule that uses the session attribute uid to set the REMOTE_USER header.</div>

<div class=""><br class="">

</div>

<div class=""><a href="https://www.dropbox.com/s/i31auythkp0g3gc/Screen%20Shot%202017-11-29%20at%2010.55.28.png?dl=0" class="">https://www.dropbox.com/s/i31auythkp0g3gc/Screen%20Shot%202017-11-29%20at%2010.55.28.png?dl=0</a></div>

<div class=""><br class="">

</div>

<div class="">If the F5 is not the SP, you'll have hard time parsing the XML content of SAML transactions and making sens of it just by regexp and TCL.</div>

<div class=""><br class="">

</div>

<div class="">Hope this help.</div>

<div class=""><br class="">

</div>

<div class="">Youssef Ghorbal</div>

<div class="">Institut Pasteur </div>

<div class=""><br class="">

</div>

<div class=""> </div>

</div>

</body>

</html>