<div dir="ltr"><div class="gmail_extra"><div class="gmail_quote">On Thu, Feb 4, 2016 at 10:48 PM, joller lee <span dir="ltr"><<a href="mailto:joller.lee@gmail.com" target="_blank">joller.lee@gmail.com</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex"><div dir="ltr">I'm trying to implement password expiring and password-must-change warning with IdPv3 and AD. I wonder whether it's possible without using external-auth or writing code (or modifying the system stuffs).</div></blockquote><div><br></div><div>The adAuthenticator configuration will map active directory errors[1] by default, but not warnings.</div><div> </div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex"><div dir="ltr"><div><br></div><div>LDAP tried, seems that AD doesn't support LDAP warning.</div></div></blockquote><div><br></div><div>You can wire up support for using the pwdLastSet attribute as a warning. Use of any other attributes would require a custom AuthenticationResponseHandler. The reason this isn't a default config is that the attributes you would use to generate warnings (including pwdLastSet) require elevated read access, which means you'll need to configure an EntryResolver.</div><div><br></div><div>--Daniel Fisher</div><div><br></div><div>[1] <a href="http://ldapwiki.willeke.com/wiki/Common%20Active%20Directory%20Bind%20Errors">http://ldapwiki.willeke.com/wiki/Common%20Active%20Directory%20Bind%20Errors</a></div><div><br></div></div></div></div>