<div dir="ltr"><div>Thank you.</div><div><br></div><div>This information helped a lot.</div><div><br></div><div>I can now display the status page from </div><div><br></div><div>curl -k <a href="https://localhost/Shibboleth.sso/Status%60" target="_blank" rel="noreferrer">https://localhost/Shibboleth.<wbr>sso/Status</a></div><div><br></div><div>Just need to find out who is in charge of the Identity Provider...(smile).</div><div><br></div><div>Thanks,</div><div>Mike</div><div><br></div><div><br></div><div><br></div></div><div class="gmail_extra"><br><div class="gmail_quote">On Wed, Dec 13, 2017 at 5:12 PM, Peter Schober <span dir="ltr"><<a href="mailto:peter.schober@univie.ac.at" target="_blank">peter.schober@univie.ac.at</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">* Michael Nesmith - NOAA Affiliate <<a href="mailto:michael.nesmith@noaa.gov">michael.nesmith@noaa.gov</a>> [2017-12-13 22:09]:<br>
<span>> My partner has recently installed Shibboleth on a Redhat 6 Linux server.<br>
</span>[...]<br>
<span>> [root@marlin ~]# rpm -qa | grep shib<br>
> liblog4shib1-1.0.9-3.1.el6.<wbr>x86_64<br>
> shibboleth-2.6.1-3.1.el6.x86_<wbr>64<br>
<br>
</span>So that's the Shibboleth SP ("Service Provider") software.<br>
That part is used to protect resources running in a local webserver.<br>
<span><br>
> The customer wants to use Shibboleth as a single sign-on provider.<br>
> Not sure why they don't just use LDAP...we have a LDAP  server.<br>
<br>
</span>Many reasons. Mainly with SAML instead of LDAP the protected resource<br>
(say, some web application) does not recieve (nor does it need to<br>
recieve) the subjects credentials (as would be necessary with LDAP so<br>
that your application can replay those credentials to the subject's<br>
LDAP server trying to impersonate the subject).<br>
<br>
SAML supports federation, meaning you can provision access for other<br>
people that can securely authenticate at their own institution (think<br>
/their/ LDAP server) but still be authorized to access your<br>
resource/application. (I.e., they don't exist in /your/ LDAP server.)<br>
<br>
Also you can have Web Single Sign-On with SAML.<br>
<span><br>
> 1) import IdP (Identify Provider) metadata to shibboleth (this is what OCIO<br>
> provided for us to connect) -<br>
>   attached two files: sso-dev-noaaonline-idp.xml and sso-dev-cac-idp.xml<br>
><br>
> 2) generate our SP (Service Provider) metadata and attach here.<br>
<br>
</span>So you're running a SAML SP, meaning you're running a protected<br>
resource that someone from another organization can be given access<br>
to.<br>
For that to work your SP needs SAML Metadata describing the other<br>
party (the "Identity Provider" of those other people), the<br>
cryptographic keys they'll be signing their SAML prococol messages<br>
with. etc.<br>
<br>
Here's as shallow an entry as the Shib docs currently have:<br>
<a href="https://wiki.shibboleth.net/confluence/display/CONCEPT/Home" target="_blank" rel="noreferrer">https://wiki.shibboleth.net/<wbr>confluence/display/CONCEPT/<wbr>Home</a><br>
<span><br>
> The problem is that when I read the configuration documentation, I don't<br>
> see any of the information that I need to do either of these tasks.<br>
><br>
> Step 1 on loading the IdP metadata refers to a file named<br>
> relying-party.xml that I can't even find.<br>
<br>
</span>You're likely reading the documentation for another product, that for<br>
the Shibboleth IDP ("Identity Provider").<br>
<br>
The correct docs for your case are here:<br>
<a href="https://wiki.shibboleth.net/confluence/display/SHIB2/NativeSPAddIdP" target="_blank" rel="noreferrer">https://wiki.shibboleth.net/<wbr>confluence/display/SHIB2/<wbr>NativeSPAddIdP</a><br>
<br>
For general first steps with the configuration see:<br>
<a href="https://wiki.shibboleth.net/confluence/display/SHIB2/NativeSPGettingStarted" target="_blank" rel="noreferrer">https://wiki.shibboleth.net/<wbr>confluence/display/SHIB2/<wbr>NativeSPGettingStarted</a><br>
<span><br>
> The Shibboleth daemon seems to be running, but I can't access<br>
> anything related to Shibboleth from the Apache web page.<br>
<br>
</span>Try `curl -k <a href="https://localhost/Shibboleth.sso/Status`" target="_blank" rel="noreferrer">https://localhost/Shibboleth.<wbr>sso/Status`</a> to get some<br>
indication that the SP is alive and working.<br>
<span class="HOEnZb"><font color="#888888"><br>
-peter<br>
--<br>
For Consortium Member technical support, see <a href="https://wiki.shibboleth.net/confluence/x/coFAAg" target="_blank" rel="noreferrer">https://wiki.shibboleth.net/<wbr>confluence/x/coFAAg</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.<wbr>net</a><br>
<br>
</font></span></blockquote></div><br><br clear="all"><br>-- <br><div class="gmail_signature" data-smartmail="gmail_signature"><div dir="ltr">Michael NeSmith<br>Senior Linux Administrator<br>Earth Resources Technology, Inc.<br></div></div>
</div>