<div dir="ltr"><div dir="ltr">Thank you Scott! I kind of figured this out, but wanted to check. Basically, I have about 60 customers on AWS servers and am trying to make it easier to deploy these servers from an AMI. About 25 of them have Shibboleth SP setup on them so I was trying to find a way that I could have no need to have the Shibboleth SP directly on the servers. As it is now, I would have to have 2 AMIs with one of them having Shibboleth SP installed and then I would have to copy files the IdP Metadata, Shibboleth2.xml, attribute-map.xml and the .pem files, restart the Shibboleth Service, and perform an IISRESET to recovery from a disaster. The software that I am working with is coded for Shibboleth SP so I have to use Shibboleth as the middle man. I love Shibboleth SP and have had very few issues getting it setup, but trying to make my life easier for the future. :-)<div><br></div><div>Thanks again,</div><div><br clear="all"><div><div dir="ltr" class="gmail_signature"><div dir="ltr">Rick Hoodenpyle<div><br></div></div></div></div><br></div></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Wed, Aug 30, 2023 at 6:32 PM Cantor, Scott <<a href="mailto:cantor.2@osu.edu">cantor.2@osu.edu</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">> Is it possible to have the Shibboleth SP on a different server than the<br>
> Windows IIS server? Or does the Service have to be run on the IIS Server? If<br>
> it is possible, does anyone have instructions on how you would set this up?<br>
<br>
That depends on what you mean. Taken literally, no, because that's physically impossible with any authentication solution.<br>
<br>
<a href="https://shibboleth.atlassian.net/wiki/spaces/SP3/pages/2065334319/OneOrMany" rel="noreferrer" target="_blank">https://shibboleth.atlassian.net/wiki/spaces/SP3/pages/2065334319/OneOrMany</a><br>
<br>
Less pedantically/literally, it is possible but unsupported and very non-scalable to deploy the daemon service elsewhere and run only the filter on the IIS host. The documentation covers that in the Listener settings but it is not advisable, and also requires a private network netween the two because the traffic is cleartext.<br>
<br>
If there is a V4 with the daemon in Java, which is subject to budget planning outcomes right now, it will be a formally supported and scalable option to do that split, though the traffic will still be cleartext because securing it would require dependencies that we are not going to layer the code on to prevent a future SP from being as unsustainable as the current one has become.<br>
<br>
Most of the time people are trying to do this to solve clustering challenges, but that's not necessary, there are generally better ways to address that problem, though no magic bullets as clustering is and will always be hard and painful.<br>
<br>
-- Scott<br>
<br>
<br>
</blockquote></div></div>