<div dir="ltr">We are refactoring a custom authn flow into the new MFA framework and need to support a subflow that helps users with forgotten username/password. Formerly we simply called into this subflow directly, but it looks like the CallExtendedFlow state of the Password flow ought to be able to do the same thing. But I'm having problems with a NPE apparently due to the fact that the flow isn't in the AuthenticationContext#getPotentialFlows() collection. I'm scratching my head where else I need to define the flow other than as a bean in conf/authn/general-authn.xml and updating idp.authn.flows in idp.properties:<div><br></div><div><div>diff --git a/idp/conf/authn/general-authn.xml b/idp/conf/authn/general-authn.xml</div><div>index 13c429c..5a06b9d 100644</div><div>--- a/idp/conf/authn/general-authn.xml</div><div>+++ b/idp/conf/authn/general-authn.xml</div><div>@@ -112,6 +112,15 @@</div><div>             </property></div><div>         </bean></div><div><br></div><div>+        <!-- The following is an extended flow called from Password --></div><div>+        <bean id="authn/conditions/iforgot" parent="shibboleth.AuthenticationFlow"</div><div>+                p:forcedAuthenticationSupported="false"</div><div>+                p:nonBrowserSupported="false"></div><div>+            <property name="supportedPrincipals"></div><div>+                <util:list /></div><div>+            </property></div><div>+        </bean></div><div>+</div><div>     </util:list></div><div><br></div><div>     <!--</div><div>diff --git a/idp/conf/idp.properties b/idp/conf/idp.properties</div><div>index c1a28ba..575d4c5 100644</div><div>--- a/idp/conf/idp.properties</div><div>+++ b/idp/conf/idp.properties</div><div>@@ -89,7 +89,7 @@ idp.session.secondaryServiceIndex = true</div><div> idp.session.defaultSPlifetime = PT24H</div><div><br></div><div> # Regular expression matching login flows to enable, e.g. IPAddress|Password</div><div>-idp.authn.flows= X509Internal|MFA|Password|X509</div><div>+idp.authn.flows= X509Internal|MFA|Password|X509|conditions/iforgot</div></div><div><br></div><div>The flow definition files are where they need to be; that hasn't changed from our previous implementation. The only other place I can think to define it is in the RP configuration, which I have not done intentionally to prevent it from being selected as a top-level authn flow<span style="line-height:1.5">.</span></div><div><span style="line-height:1.5"><br></span></div><div><span style="line-height:1.5">Can someone point me in the right direction?</span></div><div><br></div><div>Thanks,</div><div>M</div><div><br></div></div>