<div dir="ltr"><div>Hi,</div><div><br></div><div>Ahh, apologies.  "XASP" (X.509 Attribute Sharing Profile) is an OASIS profile for attribute sharing using SAML 2 (<a href="https://docs.oasis-open.org/security/saml/Post2.0/sstc-saml-x509-authn-attrib-profile-cd.html">https://docs.oasis-open.org/security/saml/Post2.0/sstc-saml-x509-authn-attrib-profile-cd.html</a>).  Basically, the "SP" or "Attribute Requester" end sends a request with a user's certificate information to the "IdP" or "Attribute Authority" or "AA" and the AA returns a message to the SP/AR with the requested attributes.</div><div><br></div><div>I should have explained that and specifically ask if Shibboleth (both the SP side and the IdP side) supports that?  <br></div><div><br></div><div></div><div>Jim</div></div><div id="DAB4FAD8-2DD7-40BB-A1B8-4E2AA1F9FDF2"><br><table style="border-top:1px solid #d3d4de"><tr><td style="width:55px;padding-top:13px"><a href="https://www.avast.com/sig-email?utm_medium=email&utm_source=link&utm_campaign=sig-email&utm_content=webmail" target="_blank"><img src="https://s-install.avcdn.net/ipm/preview/icons/icon-envelope-tick-round-orange-animated-no-repeat-v1.gif" alt="" width="46" height="29" style="width: 46px; height: 29px;"></a></td><td style="width:470px;padding-top:12px;color:#41424e;font-size:13px;font-family:Arial,Helvetica,sans-serif;line-height:18px">Virus-free.<a href="https://www.avast.com/sig-email?utm_medium=email&utm_source=link&utm_campaign=sig-email&utm_content=webmail" target="_blank" style="color:#4453ea">www.avast.com</a></td></tr></table><a href="#DAB4FAD8-2DD7-40BB-A1B8-4E2AA1F9FDF2" width="1" height="1"></a></div><br><div class="gmail_quote gmail_quote_container"><div dir="ltr" class="gmail_attr">On Tue, Mar 25, 2025 at 11:20 AM Peter Schober via users <<a href="mailto:users@shibboleth.net">users@shibboleth.net</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">o haya via users <<a href="mailto:users@shibboleth.net" target="_blank">users@shibboleth.net</a>> [2025-03-25 16:08 CET]:<br>
> Two of the things that I want to be able to test are to (a)<br>
> implement/prototype attribute sharing (XASP) using Shibboleth, and (b)<br>
> after that, similarly implement/prototype identity federation (again, using<br>
> Shibboleth).<br>
<br>
FWIW, I never heard of "XASP" and I don't know what specifically you<br>
mean by "attribute sharing". And of course different people/projects<br>
mean different things when they say "identity federation".<br>
<br>
> Looking at the docs, I think that I need to stand up an LDAP (OpenLDAP)<br>
> server as the backend for the IdP/Attribute Authority/AA), and integrate<br>
> that backend with the IdP that i just recently stood up.<br>
<br>
Note that the IDP can also pull data (about people, usually) from an<br>
RDBMS or via HTTP-based APIs. LDAP is fine if you're comfortable with<br>
it (hardly anyone is, these days, IMO) or have the tooling so you<br>
don't have to care about it (i.e., container images).<br>
<br>
> I think that I am also going to need to stand up a Service<br>
> Provider/Attribute Requester/AR) and setup the partnership between<br>
> the SP/AR and the IdP/AA?<br>
<br>
Well, the IDP provides SSO to (and data about) the subject, so for the<br>
IDP to do anything useful you need Relying Parties (Service Provider)<br>
that "rely" on that data asserted by the IDP, yes.<br>
<br>
You didn't mention the protocol you want the IDP and SP to speak but<br>
the Shibboleth IDP comes with SAML 2.0 WebSSO out of the box and has<br>
plugins for OpenID Connect (and can also support CAS).<br>
<br>
The Shibboleth SP supports SAML. If you want a webserver-based OIDC RP<br>
(like the Shibboleth SP is) have a look at <a href="https://openidc.org/" rel="noreferrer" target="_blank">https://openidc.org/</a><br>
<br>
HTH,<br>
-peter<br>
-- <br>
For Consortium Member technical support, see <a href="https://shibboleth.atlassian.net/wiki/x/ZYEpPw" rel="noreferrer" target="_blank">https://shibboleth.atlassian.net/wiki/x/ZYEpPw</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.net</a><br>
</blockquote></div>