<div dir="ltr">Normally SAML is all bouncing through the client machine. <div>So setting the host file on the client machine would be all that is required.</div><div><br></div><div>If you are doing additional steps (such as a call back to the IdP from your application server for some special reason); you might need to alter the host file of your application server to point to the sp2 instance.</div><div><br></div><div>Tim</div></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Mon, Jul 1, 2024 at 1:51 PM Brett Melling <<a href="mailto:brett.melling@exprodo.com">brett.melling@exprodo.com</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">Hi Peter,<br>
That won't work in our case as we've abstracted Shibboleth from the<br>
applications (we have a single Shibboleth service for multiple distributed<br>
application, and a bespoke application running on the Shibboleth system to<br>
interface between Shibboleth and our SSO enabled application instances). So<br>
the user connects to the web application and it's the application that is<br>
programmed with where to find the Shibboleth system. We did try using the<br>
hosts file on a test application server to point to new Shibboleth system<br>
but it didn't work.<br>
<br>
I don't recall the error but I didn't persist with it as I was sure - given<br>
all the 'traffic' taking place in an SSO exchange - that DNS would be used<br>
for more than the 'first hop'. But your answer suggests not (i.e. your<br>
answer suggests you would expect there to be no further lookup of CNAME<br>
<a href="http://sp.ourdomain.com" rel="noreferrer" target="_blank">sp.ourdomain.com</a> at any other stage in the SSO process such as between SP<br>
and IdP etc) which would be a very helpful thing to find out if so. And we'd<br>
perhaps revisit the same test we did based on amending hosts files in our<br>
test application system and looking at the failure with a little more<br>
scrutiny.<br>
<br>
Kind Regards,<br>
<br>
Brett Melling<br>
<br>
<br>
<br>
Website: <a href="https://calpendo.com" rel="noreferrer" target="_blank">https://calpendo.com</a> <br>
LinkedIn: <a href="http://www.linkedin.com/in/calpendo" rel="noreferrer" target="_blank">http://www.linkedin.com/in/calpendo</a> |<br>
<a href="https://www.linkedin.com/company/exprodosoftware/" rel="noreferrer" target="_blank">https://www.linkedin.com/company/exprodosoftware/</a><br>
General enquiries - <a href="mailto:info@exprodo.com" target="_blank">info@exprodo.com</a> <br>
Technical enquiries - <a href="mailto:support@exprodo.com" target="_blank">support@exprodo.com</a><br>
<br>
-----Original Message-----<br>
From: users <<a href="mailto:users-bounces@shibboleth.net" target="_blank">users-bounces@shibboleth.net</a>> On Behalf Of Peter Schober via<br>
users<br>
Sent: Monday, July 1, 2024 1:06 PM<br>
To: <a href="mailto:users@shibboleth.net" target="_blank">users@shibboleth.net</a><br>
Cc: Peter Schober <<a href="mailto:peter.schober@univie.ac.at" target="_blank">peter.schober@univie.ac.at</a>><br>
Subject: Re: SP Migration to New Server<br>
<br>
Brett Melling <<a href="mailto:brett.melling@exprodo.com" target="_blank">brett.melling@exprodo.com</a>> [2024-07-01 13:54 CEST]:<br>
> The existing server (e.g. <a href="http://server1.ourdomain.com" rel="noreferrer" target="_blank">server1.ourdomain.com</a>) has worked well for a <br>
> number of years by way of a CNAME pointing to it - <a href="http://sp.ourdomain.com" rel="noreferrer" target="_blank">sp.ourdomain.com</a> - <br>
> that is referenced in our metadata, and we are ready to migrate <br>
> Shibboleth functionality to new server <a href="http://server2.ourdomain.com" rel="noreferrer" target="_blank">server2.ourdomain.com</a> which is <br>
> configured and believed to be ready from testing of <a href="http://server2.ourdomain.com" rel="noreferrer" target="_blank">server2.ourdomain.com</a><br>
in isolation.<br>
> <br>
> Does anyone know of a reliable way of testing the Shibboleth <br>
> functionality of server2 from a customer perspective before we update <br>
> the DNS CNAME <a href="http://sp.ourdomain.com" rel="noreferrer" target="_blank">sp.ourdomain.com</a> from server1 to server2, given the <br>
> nature of DNS and how long it might take for a reversal to propagate <br>
> again should there be any issues?<br>
<br>
Simply add the new IP address for the existing, published host name to your<br>
local PC's hosts file, <a href="https://en.wikipedia.org/wiki/Hosts_(file)" rel="noreferrer" target="_blank">https://en.wikipedia.org/wiki/Hosts_(file)</a><br>
thereby overriding DNS for that machine.<br>
<br>
Accessing the published host will then take you to the new instance but only<br>
on the machine with the changed hosts file.<br>
<br>
-peter<br>
--<br>
For Consortium Member technical support, see<br>
<a href="https://shibboleth.atlassian.net/wiki/x/ZYEpPw" rel="noreferrer" target="_blank">https://shibboleth.atlassian.net/wiki/x/ZYEpPw</a><br>
To unsubscribe from this list send an email to<br>
<a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.net</a><br>
<br>
-- <br>
For Consortium Member technical support, see <a href="https://shibboleth.atlassian.net/wiki/x/ZYEpPw" rel="noreferrer" target="_blank">https://shibboleth.atlassian.net/wiki/x/ZYEpPw</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.net</a><br>
</blockquote></div>