<div dir="ltr"><font face="arial, helvetica, sans-serif">For years I've used the global catalog port 3268 with startTLS to connect my IdP to our institutional Active Directory, on advice such as:</font><div><font face="arial, helvetica, sans-serif"><br></font><div><font face="arial, helvetica, sans-serif"><a href="https://wiki.shibboleth.net/confluence/display/SHIB2/LdapServerIssues">https://wiki.shibboleth.net/confluence/display/SHIB2/LdapServerIssues</a><br></font></div><div><font face="arial, helvetica, sans-serif"><br></font></div><div><font face="arial, helvetica, sans-serif">because in our AD "</font><span style="color:rgb(51,51,51)"><font face="arial, helvetica, sans-serif">users are spread across multiple object[s]" (e.g., </font></span><code style="color:rgb(51,51,51)"><font face="arial, helvetica, sans-serif">CN={username},OU=userAccounts,...OU=consultants and others), which in that wiki page is the triggering condition for using the global catalog.</font></code></div></div><div><code style="color:rgb(51,51,51)"><font face="arial, helvetica, sans-serif"><br></font></code></div><div><code style="color:rgb(51,51,51)"><font face="arial, helvetica, sans-serif">My AD team strongly objected to my request to add a </font></code><span style="color:rgb(51,51,51);font-family:arial,helvetica,sans-serif">small number of attributes to</span><span style="font-family:arial,helvetica,sans-serif;color:rgb(51,51,51)"> to the General Catalog, and scorned the advice I cited in that wiki page as my justification for relying on the global catalog. They requested I re-configure the IdP for what they describe as "normal" LDAP searches (port 389/636).</span></div><div><code style="color:rgb(51,51,51)"><font face="arial, helvetica, sans-serif"><br></font></code></div><div><code style="color:rgb(51,51,51)"><font face="arial, helvetica, sans-serif">Yielding to the inevitable, I have tested the port switched from 3268 to 389 (with startTLS). An initial PoC using Apache Directory Browser seemed to confirm the behavior described in our wiki page, presenting a modal dialog for me to indicate a subsequent connection to use for referrals; but after that inital request, searches returned all needed attributes. Trying in the IdP attribute resolver itself, I was expecting to see some analog of the referral connection request, but, on the contrary, changing the port in the attribute resolver seems to have no impact. Shibb logs show a connection and response with about 100 attributes in ~ 10 msec.</font></code></div><div><code style="color:rgb(51,51,51)"><font face="arial, helvetica, sans-serif"><br></font></code></div><div><font color="#333333" face="arial, helvetica, sans-serif">My question from this experience is whether this 2013 wiki page above needs clarification or revision. My AD folks suggest the need for general catalog should arise only if users are spread across multiple <u>domains</u>, not merely multiple OUs within a single domain. Or perhaps the <u>default behavior</u> of the LDAP library has changed to by default follow referrals?</font></div><div><font color="#333333" face="arial, helvetica, sans-serif"><br></font></div><div><font color="#333333" face="arial, helvetica, sans-serif">David Bantz</font></div></div>