<div dir="ltr"><div class="gmail_default" style="font-size:small;color:rgb(7,55,99)">​​</div><div class="gmail_default"><div class="gmail_default" style="color:rgb(7,55,99);font-size:small">Thanks Tom for you response.</div><div class="gmail_default" style="color:rgb(7,55,99);font-size:small"><br></div><div class="gmail_default" style="color:rgb(7,55,99);font-size:small">Yes SP initiated working perfectly for all partner. </div><div class="gmail_default" style="color:rgb(7,55,99);font-size:small">When I hit my SP initited url, ultimatly it redisrects to a url like bellow.</div><div class="gmail_default" style="color:rgb(7,55,99);font-size:small"><br></div><div class="gmail_default"><font color="#073763"><a href="https://xxxxxx.com/shibboleth-sp/saml/login?idp=https://idp.host.com/idp/shibboleth" target="_blank">https://xxxxxx.com/shibboleth-<wbr>sp/saml/login?idp=https://idp.<wbr>host.com/idp/shibboleth</a></font><br></div><div class="gmail_default"><font color="#073763"><br></font></div><div class="gmail_default"><font color="#073763">Now I am facing a problem with another partner. They are using IDP initiated flow (we asked them not to continue with IDP initiated but it's their decision) and try to executing SP's ACS url. </font></div><div class="gmail_default"><font color="#073763"><br></font></div><div class="gmail_default"><font color="#073763">They have configured ACS url like bellow -</font></div><div class="gmail_default"><a href="https://xxxxxx.com/shibboleth-sp" target="_blank">https://xxxxxx.com/shibboleth-<wbr>sp</a><br></div><div class="gmail_default"><font color="#073763"><br></font></div><div class="gmail_default"><font color="#073763">Now, when IDP server executing above url, we (SP side) receive the request for idp-discovery in our end but can not proceed because we can not distinguish their request.</font></div><div class="gmail_default"><font color="#073763"><br></font></div><div class="gmail_default"><font color="#073763">It would be helpful if they can add any extra parameter along with ACS url so that we can determine from which IDP server the request is coming.</font></div><div class="gmail_default"><font color="#073763">We are expecting an url like this (May be I am wrong)</font></div><div class="gmail_default"><font color="#073763"><br></font></div><div class="gmail_default"><span style="color:rgb(7,55,99)"><i><b><a href="https://xxxxxx.com/shibboleth-sp&realm=abc" target="_blank">https://xxxxxx.com/shibboleth-<wbr>sp&user=abc</a></b></i></span><font color="#073763"><br></font></div><div class="gmail_default"><span style="color:rgb(7,55,99)"><br></span></div><div class="gmail_default"><span style="color:rgb(7,55,99)">Is it possible to configure an url like above for their IDP ACS? And will that help us to serve our purpose?</span></div><div class="gmail_default"><span style="color:rgb(7,55,99)"><br></span></div><div class="gmail_default"><font color="#073763"><br></font></div><div class="gmail_default"><font color="#073763"><br></font></div><div class="gmail_default"><font color="#073763">Thanks,</font></div><div class="gmail_default"><font color="#073763">Snahasish</font></div><div class="gmail_default"><font color="#073763"><br></font></div><div class="gmail_default"><font color="#073763"><br></font></div><div class="gmail_default"><font color="#073763"><br></font></div><div class="gmail_default"><font color="#073763"><br></font></div><div class="gmail_default"><font color="#073763"><br></font></div></div><div class="gmail_extra"><br><div class="gmail_quote">On Thu, Feb 8, 2018 at 2:37 PM, Santu Ghosh <span dir="ltr"><<a href="mailto:mon.snahasish@gmail.com" target="_blank">mon.snahasish@gmail.com</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div dir="ltr"><div style="font-size:small;color:#073763">Thanks Tom for you response.</div><div style="font-size:small;color:#073763"><br></div><div style="font-size:small;color:#073763">Yes SP initiated working perfectly for all partner. </div><div style="font-size:small;color:#073763">When I hit my SP initited url, ultimatly it redisrects to a url like bellow.</div><div style="font-size:small;color:#073763"><br></div><div style="font-size:small;color:#073763"><br></div><div style="font-size:small;color:#073763"><br></div></div><div class="gmail_extra"><div><div class="m_5550454927234840323h5"><br><div class="gmail_quote">On Wed, Feb 7, 2018 at 9:47 PM, Tom Scavo <span dir="ltr"><<a href="mailto:trscavo@gmail.com" target="_blank">trscavo@gmail.com</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><span>On Wed, Feb 7, 2018 at 4:15 PM, Santu Ghosh <<a href="mailto:mon.snahasish@gmail.com" target="_blank">mon.snahasish@gmail.com</a>> wrote:<br>
><br>
>>but in an IdP-initiated flow, the IdP can<br>
> add whatever RelayState value the SP will understand (presumably by<br>
> prior agreement).<br>
><br>
> Can you please give me an example how to add an parameter in an ACS url ??<br>
<br>
</span>Let's back up a bit. First you need to understand how RelayState works<br>
in an SP-initiated flow: The SP attaches a RelayState parameter to the<br>
redirect URL, which the IdP is REQUIRED to return on the round trip.<br>
This is documented in the SAML standard.<br>
<br>
Presumably the SP includes a RelayState parameter so that it knows<br>
where to redirect the user at the very last step of the flow. Are your<br>
SPs that support SP-initiated doing this now? If not, I'm not sure why<br>
you're concerned with the SP that doesn't support SP-initiated. Either<br>
you need RelayState for all of them or none of them.<br>
<br>
That said, an IdP-initiated flow is inherently non-standard. The IdP<br>
could add an arbitrary RelayState parameter to the POST response but<br>
the SP may not understand it since the request did not originate at<br>
the SP. So if anything good happens in the IdP-initiated case it is by<br>
prior agreement only. If the IdP passes a RelayState parameter that<br>
the SP understands, then that means they colluded on its semantics.<br>
That's great.<br>
<br>
HTH,<br>
<div class="m_5550454927234840323m_-6723591546831465371HOEnZb"><div class="m_5550454927234840323m_-6723591546831465371h5"><br>
Tom<br>
--<br>
For Consortium Member technical support, see <a href="https://wiki.shibboleth.net/confluence/x/coFAAg" rel="noreferrer" target="_blank">https://wiki.shibboleth.net/co<wbr>nfluence/x/coFAAg</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.n<wbr>et</a><br>
</div></div></blockquote></div><br><br clear="all"><div><br></div></div></div><span class="m_5550454927234840323HOEnZb"><font color="#888888">-- <br><div class="m_5550454927234840323m_-6723591546831465371gmail_signature" data-smartmail="gmail_signature"><div dir="ltr"><div><div dir="ltr"><div>Snahasish<br><br></div></div></div></div></div>
</font></span></div>
</blockquote></div><br><br clear="all"><div><br></div>-- <br><div class="m_5550454927234840323gmail_signature" data-smartmail="gmail_signature"><div dir="ltr"><div><div dir="ltr"><div>Snahasish<br><br></div></div></div></div></div>
</div></div>