<div dir="ltr"><br><div class="gmail_extra"><br><div class="gmail_quote">On Tue, Aug 18, 2015 at 7:05 PM, Cantor, Scott <span dir="ltr"><<a href="mailto:cantor.2@osu.edu" target="_blank">cantor.2@osu.edu</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">On 8/18/15, 8:01 PM, "users on behalf of David Langenberg" <<a href="mailto:users-bounces@shibboleth.net">users-bounces@shibboleth.net</a> on behalf of <a href="mailto:davel@uchicago.edu">davel@uchicago.edu</a>> wrote:<br>
<br>
<br>
<br>
>I wish I could show you something cool & clever.  Unfortunately, I had to in the end eliminate Password from anywhere in my configs (only using PPT) and then gave my users a choice.  The distasteful choice was could use <a href="http://research.gov" rel="noreferrer" target="_blank">research.gov</a> <<a href="http://research.gov" rel="noreferrer" target="_blank">http://research.gov</a>> or they could be defaulted to 2FA.  Those who were negatively affected chose to opt-out of electing to force Duo.  Now, that said, things seem to work properly under IdPv3 (<a href="http://research.gov" rel="noreferrer" target="_blank">research.gov</a> <<a href="http://research.gov" rel="noreferrer" target="_blank">http://research.gov</a>><br>
<span class="">> seems to at least see me).  I'll see if I can track down somebody who uses the site & get them to try Duo.<br>
<br>
</span>IIRC, when you were working through issues earlier, you said that you had associated Duo with the PPT context in the config.<br></blockquote><div><br></div><div>Yes, I did do that, however, the MCB puts a precedence order to the AuthnContexts in the request.  The fact that Unspecified shows up before PPT in the list to the MCB means "prefer Unspecified".  This caused the logic flow to assert Duo or Password rather than the requested PPT.  Eliminating Password from my config in favor of PPT combined with "Don't mix Duo with <a href="http://research.gov">research.gov</a>" was my eventual workaround.</div><div> </div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
<br>
Also, in general, the only hard constraint is at the end. Whatever the various flows are configured to handle, it's only the result at the end that's cross-checked (but unlike V2, that check is basically impossibly to circumvent, it won't respond with a context that doesn't match the request, to prevent a spec violation.<br></blockquote><div><br></div><div>Yep and in my quick tests, our V3 IdP (which is in production currently) seems to be doing the right thing.</div><div><br>Dave</div><div><br></div></div><div><br></div>-- <br><div class="gmail_signature"><div dir="ltr"><div>David Langenberg<div>Identity & Access Management Architect</div><div>The University of Chicago</div></div></div></div>
</div></div>