<div dir="ltr">I&#39;m attempting to reconfigure our Shibboleth IdP (ver. 2.4.3, soon 2.4.4) to use our Active Directory service as the authentication source.  We&#39;re currently using CAS, which itself uses AD.<div><br></div><div>As described in many tutorials, after a generic shib install, I&#39;ve modified the login.config and the handler.xml files.  Most of these tutorials seem to treat AD as analogous to LDAP authentication.  With the login.config file, I&#39;ve included the ldapUrl on the unencrypted port, disabled encryption, and included the service user for authenticated binds.  With the handler.xml file, I&#39;ve commented out the RemoteUser and ExternalAuthn handlers and enabled the UsernamePassword handler.</div><div><br></div><div>I then tried to test the IdP using <a href="http://testshib.org">testshib.org</a>&#39;s SP and was unable to authenticate.  I keep getting the error:</div><div><div><br></div><div>14:04:24.090 - DEBUG [edu.vt.middleware.ldap.jaas.LdapLoginModule:164] - Error occured attempting authentication</div><div>javax.naming.NameNotFoundException: [LDAP: error code 32 - 0000208D: NameErr: DSID-031001E5, problem 2001 (NO_OBJECT), data 0, best match of:</div><div>        &#39;&#39;</div></div><div><br></div><div>From the perspective of the AD server, the initial authenticated bind (to determine if the username is valid) takes place and succeeds but the IdP never submits the next request to authenticate the specific user.  As such, no data is received from the AD server for the user that needs to be authenticated.</div><div><br></div><div>I have three questions:</div><div><br></div><div>(1) Any suggestions on why the authentication phase is not completed?</div><div><br></div><div>(2) Should I be looking at treating authentication to an AD server more like a Kerberos authentication scheme rather than an LDAP type scheme.</div><div><br></div><div>And finally</div><div>(3) Ultimately, I&#39;d like to test this against all of the SPs that we work with.  To do that, I&#39;ve replicated our production server&#39;s metadata on this server.  I then modify the client browser&#39;s /etc/hosts file so that the name of production Shibboleth server has the IP address of the test Shibboleth server.  Is this the way most IdP sites test changes in their configuration before they put them into production?</div><div><br></div><div>Thanks,</div><div>Mike</div></div>