<div dir="ltr"><div>I have tried to override the default authentication flow defined in idp.properties with the following override in relying-party.xml</div><div><br></div><div><div> <bean parent="RelyingPartyByName" c:relyingPartyIds="<a href="http://shib-cas-sp/shibboleth">http://shib-cas-sp/shibboleth</a>"></div><div>            <property name="profileConfigurations"></div><div>              <list></div><div>                  <bean parent="SAML2.SSO" p:authenticationFlows="#{{'PwdDuo'}}" p:postAuthenticationFlows="#{{'attribute-release'}}" /></div><div>                </list></div><div>            </property></div><div>        </bean></div></div><div><br></div><div>Here is the pertinent lines form the idp logs:</div><div><br></div><div>2016-01-04 22:28:19,376 - DEBUG [net.shibboleth.idp.authn.impl.PopulateAuthenticationContext:149] - Profile Action PopulateAuthenticationContext: Filtered out authentication flow authn/Password due to profile configuration</div><div>2016-01-04 22:28:19,377 - WARN [net.shibboleth.idp.authn.impl.PopulateAuthenticationContext:165] - Profile Action PopulateAuthenticationContext: No authentication flows are active for this request</div><div>2016-01-04 22:28:19,383 - DEBUG [net.shibboleth.idp.authn.impl.FilterFlowsByForcedAuthn:53] - Profile Action FilterFlowsByForcedAuthn: Request does not have forced authentication requirement, nothing to do</div><div>2016-01-04 22:28:19,387 - DEBUG [net.shibboleth.idp.authn.impl.FilterFlowsByPassivity:53] - Profile Action FilterFlowsByPassivity: Request does not have passive requirement, nothing to do</div><div>2016-01-04 22:28:19,391 - DEBUG [net.shibboleth.idp.authn.impl.FilterFlowsByNonBrowserSupport:53] - Profile Action FilterFlowsByNonBrowserSupport: Request does not have non-browser requirement, nothing to do</div><div>2016-01-04 22:28:19,398 - DEBUG [net.shibboleth.idp.authn.impl.SelectAuthenticationFlow:257] - Profile Action SelectAuthenticationFlow: No specific Principals requested</div><div>2016-01-04 22:28:19,399 - DEBUG [net.shibboleth.idp.authn.impl.SelectAuthenticationFlow:292] - Profile Action SelectAuthenticationFlow: No usable active results available, selecting an inactive flow</div><div>2016-01-04 22:28:19,400 - ERROR [net.shibboleth.idp.authn.impl.SelectAuthenticationFlow:296] - Profile Action SelectAuthenticationFlow: No potential flows left to choose from, authentication will fail</div><div>2016-01-04 22:28:19,422 - WARN [org.opensaml.profile.action.impl.LogEvent:76] - An error event occurred while processing the request: NoPotentialFlow</div><div>2016-01-04 22:28:19,424 - DEBUG [org.opensaml.saml.common.profile.logic.DefaultLocalErrorPredicate:184] - Error event NoPotentialFlow will be handled with response</div><div><br></div><div>So it seems to know to deactivate the default flow, but does not seem to insert the flow defined in the override.  I am able to define an override authentication flow for the CASLoginConfiguration, but it fails with SAML2.SSO for some reason.</div><div><br></div><div>Thanks</div><div>Travis</div></div>