<div dir="ltr"><div>Peter, Scott,</div><div><br></div><div>Thank you so much for your input, this was really, really extremely helpful in understanding what steps I should take.</div><div>I wish the two of you a wonderful week ahead.</div><div><br></div><div>Kind regards,</div><div>Vivienne</div></div><br><div class="gmail_quote gmail_quote_container"><div dir="ltr" class="gmail_attr">On Sat, 15 Aug 2026 at 00:05, Peter Schober via users <<a href="mailto:users@shibboleth.net">users@shibboleth.net</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">Vivienne,<br>
<br>
Unless axum has support for inbound FCGI or uwsgi or AJP (all of which<br>
would enable the transmission of server environment variables from<br>
Apache httpd to the other server) you're left with HTTP Proxying.<br>
There's hardly a modern software stack that's not heavily relying on<br>
HTTP proxying (for better or for worth), though, so this isn't the end<br>
of the world.<br>
<br>
Just make sure the protected ressource (the axum-based web server)<br>
only listens on the loopback interface or (even better) on a Unix<br>
socket, making direct access to the protected ressource (without going<br>
through Apache httpd and Shibboleth) much harder.<br>
(For containerised deployments the implementation of that will need to<br>
differ but the same principles apply: Custom network between<br>
front-end web server container and back-end web server container, RFC<br>
1918 IP-adresses between containers, etc.pp.)<br>
<br>
Scott Cantor via users <<a href="mailto:users@shibboleth.net" target="_blank">users@shibboleth.net</a>> [2026-08-14 17:41 CEST]:<br>
> That doesn't mean the headers being produced by Apache as a proxy<br>
> have to come from headers (and they shouldn't). Outbound header<br>
> creation can generally source from the secure server environment.<br>
<br>
Right. So forget anything concerning Headers vs. Environment variables<br>
in the Shibboleth docs. Then in your httpd config, just make sure<br>
attributes are available (via at least passive protection[1]) and<br>
where you're proxying requests to axum set HTTP request headers as<br>
needed, e.g.: RequestHeader set X-SubjectID: %{subject-id}e<br>
<br>
HTH,<br>
-peter<br>
<br>
[1] AuthType shibboleth<br>
    Require shibboleth<br>
-- <br>
For Consortium Member technical support, see <a href="https://shibboleth.atlassian.net/wiki/x/ZYEpPw" rel="noreferrer" target="_blank">https://shibboleth.atlassian.net/wiki/x/ZYEpPw</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.net</a><br>
</blockquote></div>