<div dir="ltr"><div class="gmail_extra"><div class="gmail_quote">On Fri, Feb 5, 2016 at 1:31 PM, Daniel Fisher <span dir="ltr"><<a href="mailto:dfisher@vt.edu" target="_blank">dfisher@vt.edu</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex"><div dir="ltr"><div class="gmail_extra"><div class="gmail_quote"><span class=""><div><br></div></span><div>The adAuthenticator configuration will map active directory errors[1] by default, but not warnings.</div></div></div></div></blockquote><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex"><div dir="ltr"><div class="gmail_extra"><div class="gmail_quote"><div><br></div><div>You can wire up support for using the pwdLastSet attribute as a warning. Use of any other attributes would require a custom AuthenticationResponseHandler. The reason this isn't a default config is that the attributes you would use to generate warnings (including pwdLastSet) require elevated read access, which means you'll need to configure an EntryResolver.</div><div><br></div><div>--Daniel Fisher</div><div>[1] <a href="http://ldapwiki.willeke.com/wiki/Common%20Active%20Directory%20Bind%20Errors" target="_blank">http://ldapwiki.willeke.com/wiki/Common%20Active%20Directory%20Bind%20Errors</a></div></div></div></div></blockquote><div><br></div><div>This is useful, thanks!</div><div>By this way, "password must change" can be treated as a warning, </div><div>but not "password expiring (in N days)", right?</div><div> </div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex">--<br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.net</a><br></blockquote></div><br></div></div>