<html>

<head>

<meta http-equiv="Content-Type" content="text/html; charset=utf-8">

<style type="text/css" style="display:none;"> P {margin-top:0;margin-bottom:0;} </style>

</head>

<body dir="ltr">

<div class="elementToProof"><span style="font-family: Calibri, Arial, Helvetica, sans-serif; font-size: 12pt; color: rgb(0, 0, 0); background-color: rgb(255, 255, 255);">So far I cannot figure out how to initiate the prompt to re-authenticate when using IIS.

<br>

</span></div>

<div class="elementToProof"><span style="font-family: Calibri, Arial, Helvetica, sans-serif; font-size: 12pt; color: rgb(0, 0, 0); background-color: rgb(255, 255, 255);">I have been testing with Apache on the same system and using the config below I can get

 the prompt to re-authenticate.<br>

</span></div>

<div class="elementToProof"><span style="font-family: Calibri, Arial, Helvetica, sans-serif; font-size: 12pt; color: rgb(0, 0, 0); background-color: rgb(255, 255, 255);" class="ContentPasted0"><ApplicationOverride id="esig">

<div class="ContentPasted0"> <Sessions checkAddress="false" relayState="ss:mem" lifetime="60" handlerURL="/esig" timeout="60" cookieProps="; path=/esig; secure; HttpOnly" handlerSSL="true"></div>

<div class="ContentPasted0"> <SSO entityID="https://FQDN/SAML2/IDP"></div>

<div class="ContentPasted0"> SAML2</div>

<div class="ContentPasted0"> </SSO></div>

<div class="ContentPasted0"> </Sessions></div>

<div class="ContentPasted0"> <span style="font-family: Calibri, Arial, Helvetica, sans-serif; font-size: 12pt; color: rgb(0, 0, 0); background-color: rgb(255, 255, 255);" class="ContentPasted0"></ApplicationOverride></span></div>

<div class="ContentPasted0"><span style="font-family: Calibri, Arial, Helvetica, sans-serif; font-size: 12pt; color: rgb(0, 0, 0); background-color: rgb(255, 255, 255);" class="ContentPasted0"><br>

</span></div>

<div class="ContentPasted0"><br>

</div>

<div class="ContentPasted0">Thanks in advance.</div>

<div class="ContentPasted0"><br>

</div>

<div class="ContentPasted0">Lee<br>

<span style="font-family: Calibri, Arial, Helvetica, sans-serif; font-size: 12pt; color: rgb(0, 0, 0); background-color: rgb(255, 255, 255);" class="ContentPasted0"></span></div>

</span></div>

<div id="appendonsend"></div>

<hr style="display:inline-block;width:98%" tabindex="-1">

<div id="divRplyFwdMsg" dir="ltr"><font face="Calibri, sans-serif" style="font-size:11pt" color="#000000"><b>From:</b> Cantor, Scott <cantor.2@osu.edu><br>

<b>Sent:</b> Wednesday, November 16, 2022 2:03 PM<br>

<b>To:</b> Shib Users <users@shibboleth.net><br>

<b>Cc:</b> Matthews, Lee (NIH/NIDDK) [E] <lee.matthews@nih.gov><br>

<b>Subject:</b> [EXTERNAL] Re: Additional Entity in IIS</font>

<div> </div>

</div>

<div class="BodyFragment"><font size="2"><span style="font-size:11pt;">

<div class="PlainText">Creating a content grouping with a different entityID does not require an override, but your goal isn't that, but to create a session boundary.<br>

<br>

Using an override (with the same entityID frankly) will partition the session cache and transiting the boundary between applications will ignore any session not created by and associated with the overridden application ID.<br>

<br>

If it's not heading back to the IdP, it's not using the override.<br>

<br>

Of course, SSO is SSO. The only control an SP has over the IdP experience re: the UI is the ForceAuthn flag, which often won't do what you want anyway, but absent that there's nothing you can do to limit SSO.<br>

<br>

-- Scott<br>

<br>

<br>

CAUTION: This email originated from outside of the organization. Do not click links or open attachments unless you recognize the sender and are confident the content is safe.<br>

<br>

</div>

</span></font></div>

</body>

</html>