<div dir="ltr"><div dir="ltr">Sorry, meant to reply to the list, not just Scott.<br></div><br><div class="gmail_quote"><span class="gmail-im"><div dir="ltr" class="gmail_attr">On Wed, Mar 22, 2023 at 12:09 PM Cantor, Scott <<a href="mailto:cantor.2@osu.edu" target="_blank">cantor.2@osu.edu</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">> Comments appreciated.<br>
<br>
You can get rid of virtually all of that. RequireSessionWith and all 
those variants were replaced long ago with setting the desired entityID 
to use based on content.<br>
<br>
ShibRequestSetting entityID <idpname><br></blockquote><div><br></div></span><div>But
 where do I specify what entityIDs are allowed in the xml then?  Or do I
 not even need to do that and any entityID I have metadata for works?  
What does the SSO tag look like?<br></div><span class="gmail-im"><div> <br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">
Just apply that in the same way you're trying to do it indirectly and you get rid of all the extra manual work.<br>
<br>
You should also understand that nothing you're doing here is an 
authorization step. You can't keep somebody from an IdP out of a URL by 
controlling discovery up front. You need authorization rules to make 
sure of that, generally based on Attributes but if necessary based on 
entityID.<br></blockquote><div><br></div></span><div>Yes, I mentioned 
once it gets past shibboleth, each location checks the entityID against a
 whitelist for that location, and if it doesn't match, logs out the 
shibboleth session and tries again.  I think that's what you are talking
 about here? <div class="gmail-yj6qo"><br></div></div></div></div>