<div dir="ltr"><div>That sounds just like what I need.  Thank you.<br><br></div>-Christopher<br></div><div class="gmail_extra"><br><div class="gmail_quote">On Thu, Feb 11, 2016 at 2:44 PM, Cantor, Scott <span dir="ltr"><<a href="mailto:cantor.2@osu.edu" target="_blank">cantor.2@osu.edu</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><span class="">> Scott et al, per our conversation earlier today.   I created a JIRA ticket<br>
> <a href="https://issues.shibboleth.net/jira/browse/IDP-921" rel="noreferrer" target="_blank">https://issues.shibboleth.net/jira/browse/IDP-921</a>.  Is there any method I<br>
> could run when authz fails as part of postAuthenticationFlows to re-trigger<br>
> authentication?   If possible I'd also like to include a specific minimum authz<br>
> level as a hint.<br>
<br>
</span>The only existing way is to wire in a call to the authn subflow to directly re-invoke all of it. But I think that will be more error prone than building in a way to do this so that the profiles will just do it for you if you signal a particular event back. But that will require rewiring them to recognize the event.<br>
<br>
In either case, there has to be clear documentation (which there now isn't) on what you have to do to the tree to ensure it all works correctly, including deleting existing contexts from the previous run (e.g. the AttributeContext).<br>
<br>
If we rewire it with the assumption that the tree is set up by the code that signals the event, then the profiles won't stomp on the tree to re-run the authn flow, which means it will operate based on whatever is in the RequestedPrincipalContext your code chooses to populate. That means you can control the selection process for the subsequent run, but with the caveat that you could end up violating rules imposed by the original request if you overwrite what the IdP pulled out of the AuthnRequest to use. The cross-check of the result is based on what's in that context, not what's actually in the AuthnRequest. It assumes nobody is screwing with the data deliberately.<br>
<br>
I will outline a few things we need to do in the Jira issue.<br>
<br>
The flow re-wiring should only involve system file changes, so it will be easy enough to pre-apply them if you wanted to.<br>
<span class="HOEnZb"><font color="#888888"><br>
-- Scott<br>
<br>
--<br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.net</a><br>
</font></span></blockquote></div><br></div>