<div dir="ltr"><div>My thanks to everyone who responded to my questions.</div><div><br></div><div>Appreciate it!</div><div>Mike</div><div><br></div></div><div class="gmail_extra"><br><div class="gmail_quote">On Thu, Jan 18, 2018 at 1:10 PM, Ian Bobbitt <span dir="ltr"><<a href="mailto:ibobbitt@globalnoc.iu.edu" target="_blank">ibobbitt@globalnoc.iu.edu</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><span>On 1/18/18 12:04 PM, Cantor, Scott wrote:<br>
>> I don’t know if there’s documentation, but if you search the list archives,<br>
>> there are people who have used PIV cards — and maybe CAC, though I don’t<br>
>> recall it specifically— to authenticate using the X.509 flows.  In the end,<br>
>> they’re just smart cards.<br>
> Oh, ok, guess my second response is off base then. X.509 is definitely a pain on the web server side of things, but certainly doable.<br>
><br>
> -- Scott<br>
><br>
</span>Yes, you can make the Shibboleth IdP work with CAC. I've done it. It's not particularly pleasant. (Which is no fault of<br>
the IdP software itself. User support is the worst part here.)<br>
<br>
Jetty (the servlet engine I'm using) doesn't seem to support optional client certificates or renegotiation with a client<br>
certificate, which leads to suboptimal user experience when their browser suddenly prompts for their PIN or client<br>
certificate choice. I ended up with an Apache proxy in front of Jetty that terminates the client certificate and a<br>
servlet filter to re-inject the user's certificate in a way the IdP can understand (it's trivial, around 100 lines of Java).<br>
<br>
However, in this particular case, Michael might not need to run an IdP himself at all. NOAA already have a SAML IdP that<br>
he may be able to use. It works with either your NOAA username and password, or your CAC. You can contact the group<br>
running it at <a href="mailto:icam.id.team@noaa.gov">icam.id.team@noaa.gov</a>. It works fine with a Shibboleth SP.<br>
<br>
<br>
<br>--<br>
For Consortium Member technical support, see <a href="https://wiki.shibboleth.net/confluence/x/coFAAg" target="_blank" rel="noreferrer">https://wiki.shibboleth.net/<wbr>confluence/x/coFAAg</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.<wbr>net</a><br></blockquote></div><br><br clear="all"><br>-- <br><div class="gmail_signature" data-smartmail="gmail_signature"><div dir="ltr">Michael NeSmith<br>Senior Linux Administrator<br>Earth Resources Technology, Inc.<br></div></div>
</div>