
<html>

  <head>


    <meta http-equiv="content-type" content="text/html; charset=utf-8">

  </head>

  <body text="#000000" bgcolor="#FFFFFF">

    Dave Langenberg, Keith Wessel, and I had a conversation earlier

    today, and this came up...<br>

    <br>

    One of the more popular Multi-Context Broker use cases is to enable

    the IdP to require that certain users must use multi-factor

    authentication, even when the SP doesn't request it.  This

    requirement may be the result of the user's preference, or

    institutional policy.<br>

    <br>

    idp.authn.resolveAttribute can be configured to enable this, but it

    appears that it's not always honored.  Here's more detail of what

    doesn't work.<br>

    <br>

    <ol>

      <li>Two types of Principles are defined:  Password and Duo.</li>

      <li>matchingRules are defined to allow Duo to be used to satisfy a

        request for Password.</li>

      <li>idp.authn.flows.initial is set to Password.<br>

      </li>

      <li>The value of the user's value for the

        idp.authn.resolveAttribute is set to only Duo, not Password.</li>

    </ol>

    <p><br>

      When an SP requests Password, the user should be prompted for Duo

      authentication after the initial Password authentication. 

      Unfortunately, the IdP returns successful authentication after the

      initial Password authentication is complete, without the Duo

      interaction.  Sounds like a bug to us; are we missing something?<br>

    </p>

    <p>David<br>

    </p>

  </body>

</html>