<div dir="ltr">We currently have the same  domain -- all the hosts are inside <a href="http://uni.edu">uni.edu</a>, and the cookie domain is set to <a href="http://uni.edu">uni.edu</a>, and the sealer.jks on all the nodes has the same md5sum. Is there another setting/thing to check that I am missing?<div><br></div><div>Thanks,</div><div>Jeff</div></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Wed, Feb 21, 2024 at 12:03 PM Cantor, Scott <<a href="mailto:cantor.2@osu.edu">cantor.2@osu.edu</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">> We would *LIKE* to move everything to authn/Password, and have each<br>
> silo do it's own authentication, but use a shared cookie -- is this even<br>
> possible? At one point, I had it working, but that was several years ago, and<br>
> we are just now getting to the point of implementation. <br>
<br>
Yes, if there's a common domain (because we use client side storage for sessions), but you'd have to make sure they're all sharing the same secret key (not private key, this is the sealer key internal to the IdP), and then change the cookie settings to get the session cookie scoped broadly enough.<br>
<br>
Notably, doing that generally opens you up to fairly broad exposure of the cookies across the whole domain, which is one of the reasons I react so badly to attempts to break the use of client addresses to bind sessions.<br>
<br>
When that becomes impossible thanks to Google, Apple, and all of our NAT-obssessed network engineers, the security of SSO sinks to levels I personally would not want to be responsible for.<br>
<br>
-- Scott<br>
<br>
<br>
</blockquote></div><br clear="all"><div><br></div><span class="gmail_signature_prefix">-- </span><br><div dir="ltr" class="gmail_signature"><div dir="ltr"><div><div dir="ltr"><pre cols="72">Jeff Chapin,</pre>Panther eSports Adviser            <br>Systems/Applications Administrator<br>ITS-IS, University of Northern Iowa<br>Phone: 319-273-3162 Email: <a href="mailto:Jeff.Chapin@uni.edu" target="_blank">Jeff.Chapin@uni.edu</a> </div></div></div></div>