
<html>


<head>


<meta http-equiv="Content-Type" content="text/html; charset=utf-8">


</head>


<body text="#000000" bgcolor="#FFFFFF">


<p><font face="Helvetica, Arial, sans-serif">Hello,</font></p>


<p>I have a number of applications that all exist under the same domain:</p>


<p>some.domain/app1</p>


<p>some.domain/app2</p>


<p>And I've run into a situation where I need to start securing some of them with SmartCard authentication via AuthnContextClassRef.  Currently, there's no distinction between the apps from the SP's point of view (they're all under the default app ID).  Initially,


 I tried securing them with a native Apache content setting:</p>


<p><Location /app1><br>


</p>


<p>ShibRequestSetting authnContextClassRef urn:oasis:names:tc:SAML:2.0:ac:classes:SmartcardPKI</p>


<p></Location><br>


</p>


<p>However, it was discovered that a user could authenticate to app2 with a password and then enter app1 without being sent back to the IDP to auth with a smartcard.  After reading


<a class="moz-txt-link-freetext" href="https://wiki.shibboleth.net/confluence/display/SP3/ApplicationModel">


https://wiki.shibboleth.net/confluence/display/SP3/ApplicationModel</a> it seems pretty clear that I need to break app1 out into a separate SP application.  However, I'd like to make absolutely sure there isn't a better way to accomplish what I'm trying to


 do.        <br>


</p>


<pre class="moz-signature" cols="72">-- 


Tony Plovich (<a class="moz-txt-link-abbreviated" href="mailto:aplovich@anl.gov">aplovich@anl.gov</a>)


Business Information Systems (BIS)


Argonne National Laboratory


</pre>


</body>


</html>