Shibboleth não definindo REMOTE_USER

Question

Sou relativamente novo no Shibboleth, mas parece que não consegui passar pela questão de comunicar o REMOTE_USER ao meu aplicativo.

Minha pilha é o shibd 2.5.3 e o Apache 2.4.18 é alimentado em um servidor Gunicorn através de um soquete unix.

Eu tenho o seguinte no meu shibboleth2.xml :

<ApplicationDefaults entityID="https://server.uchicago.edu/shibboleth" REMOTE_USER="uid mail eppn">

E minha configuração do apache:

<Location /minimum>
    AuthType Shibboleth
    Require shibboleth
    ShibRequestSetting requireSession false
</Location>
...
### Shibboleth Auth Test App ###
<Directory /var/www/testing/shib_test_app/minimum_srv/>
    require valid-user
    <Files wsgi.py>
        Require all granted
    </Files>
</Directory>
ProxyPass /minimum/ unix:/var/www/testing/shib_test_app/run/minimum.socket|http://server.uchicago.edu/minimum/

Um login bem-sucedido gera o seguinte em transaction.log :

2017-11-13 11:07:09 INFO Shibboleth-TRANSACTION [1724]: New session (ID: _c7733778bc32d918c86af6ed3032b4d8) with (applicationId: default) for principal from (IdP: urn:mace:incommon:uchicago.edu) at (ClientAddress: 128.135.219.225) with (NameIdentifier: AAdzZWNyZXQxyKNPOa4xNc3jfe3SU1ECnug95BZZklugt27zSuUOLFPnF/G8zlPSTB9M5bAIXSN2WZoR9DB5mxo6w0wii7KQWJQLHtYSQM/H5dyLa+B9MOLq6ZqB7x7z9b6fjvjPpMVCxsjKhr7C7OglCHw2gqk=) using (Protocol: urn:oasis:names:tc:SAML:2.0:protocol) from (AssertionID: _2b139b94d61993652304709bb6a7a1e3)
2017-11-13 11:07:09 INFO Shibboleth-TRANSACTION [1724]: Cached the following attributes with session (ID: _c7733778bc32d918c86af6ed3032b4d8) for (applicationId: default) {
2017-11-13 11:07:09 INFO Shibboleth-TRANSACTION [1724]:     entitlement (5 values)
2017-11-13 11:07:09 INFO Shibboleth-TRANSACTION [1724]:     ucDepartment (1 values)
2017-11-13 11:07:09 INFO Shibboleth-TRANSACTION [1724]:     mail (1 values)
2017-11-13 11:07:09 INFO Shibboleth-TRANSACTION [1724]:     unscoped-affiliation (1 values)
2017-11-13 11:07:09 INFO Shibboleth-TRANSACTION [1724]:     displayName (1 values)
2017-11-13 11:07:09 INFO Shibboleth-TRANSACTION [1724]:     givenName (1 values)
2017-11-13 11:07:09 INFO Shibboleth-TRANSACTION [1724]:     ucisMemberOf (57 values)
2017-11-13 11:07:09 INFO Shibboleth-TRANSACTION [1724]:     cn (1 values)
2017-11-13 11:07:09 INFO Shibboleth-TRANSACTION [1724]:     uid (1 values)
2017-11-13 11:07:09 INFO Shibboleth-TRANSACTION [1724]:     affiliation (2 values)
2017-11-13 11:07:09 INFO Shibboleth-TRANSACTION [1724]:     persistent-id (1 values)
2017-11-13 11:07:09 INFO Shibboleth-TRANSACTION [1724]:     nickname (1 values)
2017-11-13 11:07:09 INFO Shibboleth-TRANSACTION [1724]:     eppn (1 values)
2017-11-13 11:07:09 INFO Shibboleth-TRANSACTION [1724]:     sn (1 values)
2017-11-13 11:07:09 INFO Shibboleth-TRANSACTION [1724]: }

E eu entro no meu /Shibboleth.sso/Session : Shibboleth.sso / Captura de tela da sessão

Parece que o SP está retornando atributos para mim e, em shibboleth2.xml , configurei que quero uid como o populante principal de REMOTE_USER, mas ele é definido como nulo nas variáveis de ambiente do Apache (pelo menos como Até onde eu sei, ele não está aparecendo no request.META do Django). Pode valer a pena saber que tudo está funcionando perfeitamente se eu configurar o Apache para ShibUseHeaders On , mas prefiro não ativar isso.

Alguma ajuda sobre onde a desconexão pode estar?