<div dir="ltr"><div dir="ltr"><div dir="ltr"><div>Kevin,</div><div><br></div><div>I suspect that something like the below would work, but I don't have an account nor an IdP I can use to test it with.<br></div><br><div><a href="https://idp.host.here/idp/profile/SAML2/Unsolicited/SSO?providerId=urn%3Bfederation%3BMicrosoftOnline&target=https%3A%2F%2Fportal.office.com%2F">https://idp.host.here/idp/profile/SAML2/Unsolicited/SSO?providerId=urn%3Bfederation%3BMicrosoftOnline&target=https%3A%2F%2Fportal.office.com%2F</a></div><div><br></div><div>Federated identity in general means fewer logins(but as many or more sessions total) but the number of logins does not depend on whether the IdP or SP initiates the process.  The number of logins depends on the IdP's session management and whether a current session exists for the user that satisfies a request issued by the SP.</div><div><br></div><div>Unsolicited SSO may obviate the need to do IdP discovery, which would be the only reduction in required user interaction.  That's a win, but unsolicited SSO comes with other trade-offs.  You may need to end up supporting IdP discovery and SP-initiated SSO for Microsoft's native applications anyway.  It's worth reading through this Wiki article.<br></div><div><br></div><div><a href="https://wiki.shibboleth.net/confluence/display/IDP30/UnsolicitedSSOConfiguration">https://wiki.shibboleth.net/confluence/display/IDP30/UnsolicitedSSOConfiguration</a><br></div><div><br></div><div>The only data transmitted in the assertion is the user's objectGUID and a mysterious identifier known as IDPEmail, and the SAML assertion itself would be considered the credential from the SP's point of view.  Most of the heavy provisioning lifting is done by the descendant of DirSync.</div><div><br></div><div>Hope this helps,</div><div>Nate.<br></div></div></div></div><div class="gmail_extra"><br><div class="gmail_quote">On Fri, Sep 7, 2018 at 10:40 PM, Kevin <span dir="ltr"><<a href="mailto:kevin@thenext.net" target="_blank">kevin@thenext.net</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">How would one use IdP-Initiated SSO with Shibboleth and Office 365?  In a<br>
university settings would this not be fewer logins?  Would their be a URL<br>
nomenclature that one would use to pass the credentials to the SP?<br>
<br>
<br>
<br>
--<br>
Sent from: <a href="http://shibboleth.1660669.n2.nabble.com/Shibboleth-Users-f1660767.html" rel="noreferrer" target="_blank">http://shibboleth.1660669.n2.<wbr>nabble.com/Shibboleth-Users-<wbr>f1660767.html</a><br>
<span class="HOEnZb"><font color="#888888">-- <br>
For Consortium Member technical support, see <a href="https://wiki.shibboleth.net/confluence/x/coFAAg" rel="noreferrer" target="_blank">https://wiki.shibboleth.net/<wbr>confluence/x/coFAAg</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.<wbr>net</a><br>
</font></span></blockquote></div><br></div>