<div dir="ltr"><div>Hi,</div><div></div><div><div class="gmail_extra"><br><div class="gmail_quote">On 10 September 2018 at 10:49, Peter Schober <span dir="ltr"><<a href="mailto:peter.schober@univie.ac.at" target="_blank">peter.schober@univie.ac.at</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">* Jakub Danek <<a href="mailto:jakub.danek@yoso.fi">jakub.danek@yoso.fi</a>> [2018-09-10 09:34]:<br>
<span class="">> I was asking merely to confirm that the environment variables won't<br>
> work in our scenario<br>
<br>
</span>4 layers of 4 different web server implementations (3 of them<br>
proxying) for a single service certainly doesn't look pretty to me.<br>
Securing that (to prevent header spoofing on each layer) and making<br>
sure each layer sees the original IP address (for auditing and<br>
debugging purposes) also seems rather involved. YMMV.<br></blockquote><div><br></div><div>Not much I can do about that. Especially that part why there is extra nginx (and not httpd/haproxy) inbetween is beyond my comprehension. We have to do our best with the world we are living in. However, access-wise, only the first (shibboleth sp) proxy is accessible from the outer network (which actually makes this scenario viable, imho).<br></div><div><br></div><div> </div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
<br>
Personally I think it should be possible to access Tomcat via AJP from<br>
the front-end httpd+shib even if Tomcat runs in OpenShift with a<br>
dynamic IP address, as you're seemingly already able to access that<br>
same service over HTTP (even if that involves several layers of<br>
indirection via several HTTP proxies): *Something* has to know the<br>
current IP address Tomcat runs at, either from dynamic service<br>
discovery or some form of scripting. Using more automation I guess the<br>
relevant config snippet for httpd (where to point mod_proxy_ajp to)<br>
could also be updated and httpd reloaded dynamically.<br></blockquote><div> </div><div>Openshift does not expose ports or IP addresses of individual pods by default - it uses haproxy and own internal DNS for domain-based routing (public DNS basically points a wildcard subdomain to the Openshift router which then routes to individual services based on the actual full domain). "Public" ip address can be assigned, but that would involve more of management/maintenance hassle. With the scale of our customer, that would be a problem, afaik.</div><div><br></div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
<br>
Finally, instead of carrying forward the SAML Assertion and trying to<br>
verify that further down the chain (as Nate suggested) you could use<br>
mod_proxy_jwt_auth as mentioned/contributed on this list a while ago.<br></blockquote><div> </div><div>Thanks, I will look into that as well. <br></div><div><br></div><div>J.<br></div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
<span class="HOEnZb"><font color="#888888"><br>
-peter<br>
</font></span><div class="HOEnZb"><div class="h5">-- <br>
For Consortium Member technical support, see <a href="https://wiki.shibboleth.net/confluence/x/coFAAg" rel="noreferrer" target="_blank">https://wiki.shibboleth.net/<wbr>confluence/x/coFAAg</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.<wbr>net</a><br>
</div></div></blockquote></div><br></div></div></div>