<div dir="ltr">Thank you Peter, I will give it a try.</div><br><div class="gmail_quote"><div dir="ltr">On Thu, Nov 15, 2018 at 4:09 PM Peter Schober <<a href="mailto:peter.schober@univie.ac.at">peter.schober@univie.ac.at</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">* Ron Harris <<a href="mailto:neo204011@gmail.com" target="_blank">neo204011@gmail.com</a>> [2018-11-14 19:03]:<br>
> These APIs are protected with some Basic Authentication, but they<br>
> are exposed only over intranet.<br>
<br>
FWIW, in our case the API is being hosted on the same server where the<br>
browser established a Shib session with and downloaded the Angular<br>
application from, so API access either requires Shib attributes<br>
(without forcing the creation of a session) or alternatively accepts<br>
tokens in HTTP Basic Auth headers[1].<br>
So other API clients are not forced to get a Shib session either.<br>
-peter<br>
<br>
[1] <Location /api/><br>
      AuthType shibboleth<br>
      ShibRequestSetting requireSession false<br>
      Require shib-session # or whatever<br>
      <If "-n req('Authorization')"><br>
        AuthType Basic<br>
        AuthBasicProvider ...<br>
        Require user ...<br>
        # etc.<br>
      </If><br>
    </Location><br>
-- <br>
For Consortium Member technical support, see <a href="https://wiki.shibboleth.net/confluence/x/coFAAg" rel="noreferrer" target="_blank">https://wiki.shibboleth.net/confluence/x/coFAAg</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.net</a><br>
</blockquote></div>