<div dir="ltr">I was starting to feel bad about hijacking this thread but turns out we really were working on the same issue! I'm still having issue even when removing the jetty-rewrite.xml completely but now I'm closer to a working configuration. I see a status 502 for PropagateLogout (PropagateLogout?SessionKey=N) url when I use the developer console in chrome. In Firefox the logout now gets to the point where the red x is now displayed beside each SP and in both browsers I no longer see the error messages I reported before. I also confirmed in the dev console that the csp and frameoptions http headers are no longer there.<div><br></div><div>I wasn't sure that there were many using the Unicon image but I noticed that it was still getting quickly updated when a new release of the IdP came out and they recently started using multi-stage builds so it's still being supported and even if it wasn't it's pretty simple to tweak the Dockerfile to target new versions of Jetty, Shib IdP or Java and rebuild.</div><div><br></div></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Tue, Apr 16, 2019 at 7:41 PM Bob Allison <<a href="mailto:shib@allisonr.us">shib@allisonr.us</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div style="overflow-wrap: break-word;"><div style="overflow-wrap: break-word;">I am also using that image. I confirmed that removing jetty-rewrite.xml completely solved my problems. Only removing the last addRule was not enough for me. I guess the question is if there is any reason to have the file at all if both rules have been removed.<br><div><br><blockquote type="cite"><div>On Apr 16, 2019, at 13:07, Darren Boss <<a href="mailto:darren.boss@computecanada.ca" target="_blank">darren.boss@computecanada.ca</a>> wrote:</div><br class="gmail-m_-6199918846905499512Apple-interchange-newline"><div><div dir="ltr">So I think I tracked it down to Jetty configuration. I'm using the Unicon shibboleth-idp-dockerized image although I rebuild it and I do make some minor tweaks as a layer on top of their image.<div><br></div><div><a href="https://github.com/Unicon/shibboleth-idp-dockerized/blob/master/opt/shib-jetty-base/etc/jetty-rewrite.xml" target="_blank">https://github.com/Unicon/shibboleth-idp-dockerized/blob/master/opt/shib-jetty-base/etc/jetty-rewrite.xml</a><br></div><div><br></div><div>I think that's the culprit and that last addRule can be removed. If it works I'll create a PR to their project.</div></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Tue, Apr 16, 2019 at 11:19 AM Cantor, Scott <<a href="mailto:cantor.2@osu.edu" target="_blank">cantor.2@osu.edu</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">On 4/16/19, 9:43 AM, "users on behalf of Darren Boss" <<a href="mailto:users-bounces@shibboleth.net" target="_blank">users-bounces@shibboleth.net</a> on behalf of <a href="mailto:darren.boss@computecanada.ca" target="_blank">darren.boss@computecanada.ca</a>> wrote:<br>
<br>
> It does look like my problem might be related to running under Kubernetes, specifically that http headers are being set<br>
> by the nginx proxy.<br>
<br>
That doesn't inherently mean the headers are in fact correctly usable out of the box, there still might be a mistake in our understanding.<br>
<br>
You should NOT need to alter the headers to make logout work, and I have never had to do so in any testing scenarios I've attempted. So either my testing is artificial and doesn't match a real world issue in some way, or people are mistaken somewhere about what Chrome is really saying.<br>
<br>
-- Scott<br>
<br>
<br>
-- <br>
For Consortium Member technical support, see <a href="https://wiki.shibboleth.net/confluence/x/coFAAg" rel="noreferrer" target="_blank">https://wiki.shibboleth.net/confluence/x/coFAAg</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.net</a><br>
</blockquote></div><br clear="all"><div><br></div>-- <br><div dir="ltr" class="gmail-m_-6199918846905499512gmail_signature"><div dir="ltr"><div><div dir="ltr"><div><p style="margin-bottom:0in;line-height:13px"><font color="#ff0000"><font face="arial, sans-serif"><font style="font-size:10pt"><b>Darren Boss</b></font></font></font></p><font style="font-size:10pt"><i>Senior Programmer/Analyst</i></font><font style="font-size:10pt"><i><br>Programmeur-analyste principal</i></font><font style="font-size:10pt"><i><br><a href="mailto:darren.boss@computecanada.ca" style="color:rgb(17,85,204)" target="_blank">darren.boss@computecanada.ca</a></i></font><font style="font-size:10pt"><i><br>(o) 416.228.1234 x </i></font><font><font style="font-size:10pt">230<br></font></font></div><font><font style="font-size:10pt"><i>(c) 919.525.0083</i></font></font></div></div></div></div>
-- <br>For Consortium Member technical support, see <a href="https://wiki.shibboleth.net/confluence/x/coFAAg" target="_blank">https://wiki.shibboleth.net/confluence/x/coFAAg</a><br>To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.net</a></div></blockquote></div><br></div></div>-- <br>
For Consortium Member technical support, see <a href="https://wiki.shibboleth.net/confluence/x/coFAAg" rel="noreferrer" target="_blank">https://wiki.shibboleth.net/confluence/x/coFAAg</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.net</a></blockquote></div><br clear="all"><div><br></div>-- <br><div dir="ltr" class="gmail_signature"><div dir="ltr"><div><div dir="ltr"><div><p style="margin-bottom:0in;line-height:13px"><font color="#ff0000"><font face="arial, sans-serif"><font style="font-size:10pt"><b>Darren Boss</b></font></font></font></p><font style="font-size:10pt"><i>Senior Programmer/Analyst</i></font><font style="font-size:10pt"><i><br>Programmeur-analyste principal</i></font><font style="font-size:10pt"><i><br><a href="mailto:darren.boss@computecanada.ca" style="color:rgb(17,85,204)" target="_blank">darren.boss@computecanada.ca</a></i></font><font style="font-size:10pt"><i><br>(o) 416.228.1234 x </i></font><font color="#000000"><font style="font-size:10pt">230<br></font></font></div><font color="#000000"><font style="font-size:10pt"><i>(c) 919.525.0083</i></font></font></div></div></div></div>