<div dir="ltr"><div dir="ltr"><div>Jakub,</div><div><br></div><div>My understanding would match yours.<br></div><div><br></div><div>If you can fix or resolve the httpd host, the best way I could have thought of with Shibboleth 2.x would have been to use the exportAssertion functionality built into the Shibboleth SP.  That way, the assertion would have passed all the security checks.  Your Java application would take the header, resolve it, and receive the assertion.  At that point, it's basically parsing the XML to pull the attributes and set the environment variables yourself.  I don't know if you could set a passable exportACL at the httpd host, though.<br></div><div><br></div><div>But, it's not documented in the Shibboleth 3.x Wiki.  Some of the code appears to have persisted -- I was able to set the exportAssertion flag, but I then get an assertion count of 00 along with no separate header nor URL to query, so I'm guessing it wasn't fully implemented.  If I downgrade to 2.6.1, the assertion count is 01 and the query URL is present.<br></div><div><br></div><div><a href="https://wiki.shibboleth.net/confluence/display/SHIB2/NativeSPAssertionExport">https://wiki.shibboleth.net/confluence/display/SHIB2/NativeSPAssertionExport</a></div><div><br></div><div>So, this particular workaround is not likely to work with the supported release.</div><div><br></div><div>Hoping someone has a better idea,</div><div>Nate.<br></div><div><br></div></div></div><div class="gmail_extra"><br><div class="gmail_quote">On Mon, Sep 10, 2018 at 4:09 AM, Jakub Danek <span dir="ltr"><<a href="mailto:jakub.danek@yoso.fi" target="_blank">jakub.danek@yoso.fi</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
  

    
  
  <div text="#000000" bgcolor="#FFFFFF">
    <p>Hello,</p>
    <p>I would like to get a confirmation that my understanding of the
      process is correct.</p>
    <p>Our customer has the following proxy setup (which would be very
      difficult to change for various reasons).</p>
    <ol>
      <li>Apache httpd with Shibboleth SP</li>
      <li>Nginx proxy</li>
      <li>Ha Proxy in http mode</li>
      <li>Java servlet container (tomcat)</li>
    </ol>
    <p>Servers are listed in the way requests pass through. Numbers 3
      and 4 are technically inseparable as it is an Openshift cluster
      deployment.</p>
    <p>My understanding is that under such setup it is not possible to
      pass attributes to the java application via env variables, since
      there is no sane way I can expose the AJP port from Openshift
      (other than assigning the application a fixed IP which is out of
      the question). We are stuck with HTTP proxying.<br>
    </p>
    <p>My experiments with various configurations have been unsuccseful
      so far, but I would like to get a confirmation from someone more
      experienced.</p>
    <p>Thanks in advance!</p><span class="HOEnZb"><font color="#888888">
    <p>Jakub<br>
    </p>
  </font></span></div>

<br>-- <br>
For Consortium Member technical support, see <a href="https://wiki.shibboleth.net/confluence/x/coFAAg" rel="noreferrer" target="_blank">https://wiki.shibboleth.net/<wbr>confluence/x/coFAAg</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.<wbr>net</a><br></blockquote></div><br></div>