<div dir="ltr">Thanks, Peter.<div><br></div><div>Reason the customer is pushing us is - there is another cloud hosted application which also uses SAML protocol (I don't know if they use Shibboleth SP or not). And authentication for that application happens seamlessly using the local domain credentials. Customer is not ready to add my application (which is hosted on cloud) to the 'Trusted Site' list of browser - and he confirms this other application also is not in the 'Trusted Site' list of browser.</div><div><br></div><div>As this other application is able to do auto logon - I assume SPNEGO might have been configured properly at IdP.</div><div><br></div><div>There is an interesting behaviour I observed - if the IdP URL is added to the 'Local Intranet' list of the browser. This ensures that the local AD credential is presented to IdP. Browser redirects to IdP, IdP recognize credential and perform auto logon (username & password screen is not displayed). However, once the browser redirects back to SP, the SAML response fails and SP has the following error in the shibd.log file. I can see browser being forced to redirect back to IdP and back to SP, a couple of times and then fails with browser error shown below.</div><div><br></div><blockquote style="margin:0 0 0 40px;border:none;padding:0px"><div>shibd.log file:</div><div>2020-06-22 12:01:25 WARN Shibboleth.SSO.SAML2 [9] [default]: error processing incoming assertion: SAML response reported an IdP error.</div><div><br></div><div>Error displayed to user in browser:</div><div> Server Error</div><div>  500 - Internal server error.</div><div>     There is a problem with the resource you are looking for, and it cannot be displayed.</div><div>    :2.0:status:Responder</div></blockquote><div><br></div><div>Why is SP not accepting the SAML response when user credentials were accepted by the IdP? Is IDP expecting some signalling from the SP? Should I be configuring something in SP to allow or signal the authentication methods?</div></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Wed, Jun 24, 2020 at 9:12 PM Peter Schober <<a href="mailto:peter.schober@univie.ac.at">peter.schober@univie.ac.at</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">* Prashanth Patali <<a href="mailto:patali@gmail.com" target="_blank">patali@gmail.com</a>> [2020-06-24 17:32]:<br>
> When the user navigates to my application URL, the browser properly<br>
> redirects to IdP and is presented with a username and password<br>
> screen.<br>
<br>
This pretty clearly shows that it's the IDP that should be doing<br>
something differently (SPNEGO, instead of forms-based authn), no?<br>
<br>
With SAML WebSSO as the protocol between the SP and the IDP the SP<br>
sends the browser on to the IDP (with optional signalling about authn<br>
methods, but mentioning that will probably only add confusion<br>
here). How the IDP performs authentication is then up the IDP.<br>
<br>
Probably the brwosers are not set up for SPNEGO with the IDP, or<br>
something along those lines. Basically the SP is the only part that<br>
has no role here, it's all between the web browser and the IDP.<br>
<br>
-peter<br>
-- <br>
For Consortium Member technical support, see <a href="https://wiki.shibboleth.net/confluence/x/coFAAg" rel="noreferrer" target="_blank">https://wiki.shibboleth.net/confluence/x/coFAAg</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.net</a><br>
</blockquote></div>