<div dir="ltr">A vendor (<a href="http://afford.com">afford.com</a>'s TMS) is sending a SAML request my IdP 2.x with MCB cannot handle.<div>Here's the initial sign of trouble in my IdP process log:</div><div><br></div><div>







<p class=""><span class="">12:37:43.141 - WARN [edu.internet2.middleware.shibboleth.idp.profile.saml2.SSOProfileHandler:400] - <br>                        Error decoding authentication request message </span>org.opensaml.ws.message.decoder.MessageDecodingException: <br>                        No SAMLRequest or SAMLResponse query path parameter, invalid SAML 2 HTTP Redirect message</p><p class="">(Is there a logging setting that will display the exact unencoded SAML request in the process log?)</p>
<p class="">According to the vendor, the IdP needs to support PasswordProtectedTransport Authentication in relying-party.xml, but as we have MCB installed, I think there's more to it.  Here's what the MCB adds to the logs for this request; although the user's input did authenticate via LDAP directory (and attributes were resolved) this does not satisfy the request:</p><p class=""><span class="">12:38:40.676 - DEBUG [edu.internet2.middleware.assurance.mcb.authn.provider.MCBLoginServlet:227] - <br>                        User authenticated with method [password]</span></p><p class=""><span class="">12:38:40.676 - DEBUG [edu.internet2.middleware.assurance.mcb.authn.provider.MCBLoginServlet:257] - <br>                        Used context listed in valid contexts = [false]</span></p><p class=""><span class="">12:38:40.676 - DEBUG [edu.internet2.middleware.assurance.mcb.authn.provider.MCBLoginServlet:261] - <br>                        User [</span><span class="">uaguest_bb</span><span class="">ouchard1] used a context NOT on the potential context list. They must re-authenticate with a valid context.</span></p><p class=""><span class="">12:38:40.676 - DEBUG [edu.internet2.middleware.assurance.mcb.authn.provider.MCBLoginServlet:544] -<br>                        Found [0] allowable contexts to choose from.</span></p><p class=""><span class="">12:38:40.677 - WARN [edu.internet2.middleware.assurance.mcb.authn.provider.MCBLoginServlet:573] - <br>                        Unable to satisfy requested authentication context of [[urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport]]. Returning SAM</span>L error to SP.</p><p class="">with the result:</p><p class="">







</p><p class=""><span class="">12:38:40.677 - DEBUG [edu.internet2.middleware.assurance.mcb.authn.provider.MCBLoginServlet:156] - Authentication result = [false]</span></p><p class="">What do I need to change to support the vendor's SAML request for PasswordProtectedTransport authentication method?</p><p class="">David Bantz<br>U Alaska IAM</p></div></div>