<div dir="ltr">Dear Dennis O'Quinn, <div><br>Like others I detected your rising level of frustration in this thread. I hesitate to add any stress and lack confidence I can explain anything better than Scott. But let me perhaps foolishly try. <div><br></div><div>The issue that seems clear from some of the log messages you shared is that the IP address of the client workstation appears to shift at every interaction. Those entries in the SP logs indicating sessions created and destroyed - like<br>




<span></span>





<p class="gmail-p1" style="margin:0px;font-variant-numeric:normal;font-variant-east-asian:normal;font-weight:normal;font-stretch:normal;font-size:11px;line-height:normal;font-family:Menlo;color:rgb(0,0,0)"><span class="gmail-s1" style="font-variant-ligatures:no-common-ligatures">new session created: ID (_d8a65139b583fb1e0b5382d39c3078d5) IdP (urn:mace:incommon:<a href="http://alaska.edu">alaska.edu</a>) Protocol(urn:oasis:names:tc:SAML:2.0:protocol) Address (137.229.6.126) -</span></p>


<div>are providing, at the end of the log entry, the IP address of the client - not the service, not the IdP, but the client workstation.</div><div><br></div><div>That SP session and the cookie in the client browser are tied to that IP address but apparently the very next time the client goes to the service, the SP notices the client IP address does not match the IP address in the cookie, and destroys that session.  </div><div><br></div><div>How and why the client workstation keeps presenting different IP addresses is not something the IdP or the SP have any control of, which is why folks on this list aren't able to provide you a recipe of how to correct the problem you are experiencing. </div><div><br></div><div>One alternative in the thread you may have missed is a reference to documentation on configuring the SP to "not care" about changing IP address: <a href="https://wiki.shibboleth.net/confluence/display/SHIB2/NativeSPSessions">https://wiki.shibboleth.net/confluence/display/SHIB2/NativeSPSessions</a>:<br><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><code style="font-family:monospace;color:rgb(51,51,51);font-size:14px;text-align:left;background-color:rgb(255,255,255);text-decoration-style:initial;text-decoration-color:initial">consistentAddress</code><span style="color:rgb(51,51,51);font-family:Arial,sans-serif;font-size:14px;text-align:left;background-color:rgb(255,255,255);text-decoration-style:initial;text-decoration-color:initial;float:none;display:inline">(boolean) (default is true)</span><ul style="margin:0px;list-style-type:disc;color:rgb(51,51,51);font-family:Arial,sans-serif;font-size:14px;text-align:left;background-color:rgb(255,255,255);text-decoration-style:initial;text-decoration-color:initial"><li>When true, the SP will remember the IP address used when creating a session and ensure that all subsequent access associated with this session come from the same address. This can help protect against cookie theft and is less likely than the<span> </span><code style="font-family:monospace">checkAddress</code><span> </span>setting to block legitimate access.</li></ul></blockquote></div><div><br></div></div><div>Apologies in advance if this is unhelpful.</div><div><br></div><div>David Bantz</div><div>UA OIT IAM</div></div></div><div class="gmail_extra"><br><div class="gmail_quote">On Wed, Jun 6, 2018 at 1:25 PM, O'Quinn, Dennis <span dir="ltr"><<a href="mailto:DENNIS_OQUINN@homedepot.com" target="_blank">DENNIS_OQUINN@homedepot.com</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">Thank you for your response.  I get your loyalty and his dedication.  And yes, I am *brand* new to the community, to Shibboleth, and to IdP/SP/SAML in general.<br>
<br>
I have thanked him already (early on) when he responded so quickly to my postings,  and I gathered my issues was way beneath his level of expertise.<br>
<br>
However, to talk down to someone, who he doesn't know and in this case is every bit as old as he is, the way he did, and, the way I have seen him do in numerous other replies as I researched before even joining and wasting the user communities time, deserves feedback.<br>
<br>
This is *especially* true given that people like me are essentially customers in a sense.<br>
<br>
For me, I was joining a user group.  Not Scott's personal support service.  I am fine with terse and short.  I am fine if he gives me what he does and then moves on (which I had thought had already happened).<br>
<br>
I re-submitted my question because I had finally found out how to trace and track data and I wanted to put as much information there to make it as easy as I could for someone to assist me.<br>
<br>
I was impressed with his initial responsiveness, though, his advice was way over my head at the time and I had no frame of reference to be able to understand what he was saying.  I was trying to come back and ask more, but, I needed to even know what I was asking.<br>
<br>
I have already responded to someone else on a private communication about this that his attitude will hurt this project in the long run, and I believe that.<br>
<br>
I am obviously not afraid to speak my mind and offer what I feel to be deserved feedback, but, many others are.<br>
<br>
They will not come to your group only to have someone imply that they are idiots for not listening to what they are being told, when actually, they are new to the software and do not have enough knowledge or frame of reference against which to apply and make use of the responses.<br>
<br>
And then (as I have seen in quite a few responses from Scott specifically), when they come back for clarification or more discussion, it gets even worse.<br>
<br>
NOTE: This feedback is meant to be constructive and is not a triggered response.  If you haven't seen the type of responses that I am refereing to, then I would be surprised.  They were all over the place in the Shibboleth user group responses I was getting via my Google searches.<br>
<span class="im HOEnZb"><br>
-----Original Message-----<br>
From: John Dennis <<a href="mailto:jdennis@redhat.com">jdennis@redhat.com</a>><br>
Sent: Wednesday, June 6, 2018 4:15 PM<br>
To: Shib Users <<a href="mailto:users@shibboleth.net">users@shibboleth.net</a>>; O'Quinn, Dennis <<a href="mailto:DENNIS_OQUINN@homedepot.com">DENNIS_OQUINN@homedepot.com</a>><br>
Subject: [EXTERNAL] Re: Problem implementing Shibboleth/SAML to authenticate users for Statistical Analysis Systems (SAS)<br>
<br>
On 06/06/2018 03:24 PM, O'Quinn, Dennis wrote:<br>
> The only thing I can say to that last response is 'Wow'....<br>
><br>
> Your previous responses were none too clear to a novice who does not know this environment and you did not reply to one of my key questions, which may have helped me along in the right direction, which was asking for a definition/perspective of the word 'client' in one of your earlier responses since the 'client' in this environment could be one of several entities depending on perspective....<br>
><br>
> Also, I don't recall addressing my question to you (and I checked).<br>
><br>
> I had the distinct impression from your previous tone that you had already blown me off.<br>
><br>
> I was under the impression that I was posting to a user community associated with Shibboleth where users could share and grow knowledge together.<br>
><br>
> Since you know so much and are apparently so annoyed with other people's ignorance (which I have noted on more that one post to other people), why do you even respond to these?<br>
><br>
> And speaking of tone, if you wish to forward this project and have it go somewhere, your tone in dealing with others that do not know this software (or the IdP/SP/SAML environment) may be something you should think about.<br>
><br>
> Otherwise, your user community will just say screw it and use something else (as I would if I weren't already so deep into it).<br>
<br>
We all make mistakes from time to time and sometimes we just don't have the context to evaluate. I believe you're new to the mailing list so you may not realize Scott is not only the primary author of Shibboleth and member of the OASIS Technical Committee that defines the SAML standard but IMHO Scott represents some of the best qualities in an open source community I've seen in my 30+ years of open source work. For years Scott has promptly responded with useful help to almost every message on this list. As a matter of fact I'm significantly impressed Scott has been able to do this for so long and still get other work done. Only in the last year have I seen him pull back a bit and only because he is human and cannot support everyone 24/7 out of the kindness of his heart. I applaud open source heroes like Scott and everyone involved in the Shibboleth project. I'm impressed.<br>
<br>
If you spend a bit of time in other open source communities you'll appreciate how good the Shibboleth community is in comparison.<br>
<br>
Kudos to everyone involved.<br>
<br>
<br>
--<br>
John Dennis<br>
<br>
</span><span class="im HOEnZb">______________________________<wbr>__<br>
<br>
The information in this Internet Email is confidential and may be legally privileged. It is intended solely for the addressee. Access to this Email by anyone else is unauthorized. If you are not the intended recipient, any disclosure, copying, distribution or any action taken or omitted to be taken in reliance on it, is prohibited and may be unlawful. When addressed to our clients any opinions or advice contained in this Email are subject to the terms and conditions expressed in any applicable governing The Home Depot terms of business or client engagement letter. The Home Depot disclaims all responsibility and liability for the accuracy and content of this attachment and for any damages or losses arising from any inaccuracies, errors, viruses, e.g., worms, trojan horses, etc., or other items of a destructive nature, which may be contained in this attachment and shall not be liable for direct, indirect, consequential or special damages in connection with this e-mail message or its at<br>
 tachment.<br>
</span><div class="HOEnZb"><div class="h5">-- <br>
For Consortium Member technical support, see <a href="https://wiki.shibboleth.net/confluence/x/coFAAg" rel="noreferrer" target="_blank">https://wiki.shibboleth.net/<wbr>confluence/x/coFAAg</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.<wbr>net</a><br>
</div></div></blockquote></div><br></div>