<div dir="ltr"><div class="gmail_extra"><div class="gmail_quote">On Thu, Mar 31, 2016 at 9:45 PM, joller lee <span dir="ltr"><<a href="mailto:joller.lee@gmail.com" target="_blank">joller.lee@gmail.com</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div dir="ltr"><div class="gmail_extra"><div class="gmail_quote">In my attempt to handle password-must-change in AD,<br></div></div></div></blockquote><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div dir="ltr"><div class="gmail_extra"><div class="gmail_quote"><div>I'm trying to map it to Account-Warning to handle it.</div><div>But it's simply treated as login failure, and event though the password-expiration subflow is triggered, </div><div>something like subject c14n context is missing.</div><div>Is there any simple way of treating password-must-change as login success in case of AD.</div></div></div></div></blockquote></div><br></div><div class="gmail_extra">The current code provides an accurate representation of the directory response. For your use case, AD is returning err=49 invalid credentials with a message about password-must-change. I've seen some docs that indicate you can only get that message with valid credentials. If that's true, it makes my head spin.</div><div class="gmail_extra"><br></div><div class="gmail_extra">So the only way to get the behavior you're after is to have a component that converts the login failure to a success for those cases where AD behaves in this manner. Honestly I've been resistant to such a implementation, but if you file a RFE I'll give it some more thought.</div><div class="gmail_extra"><br></div><div class="gmail_extra">--Daniel Fisher</div><div class="gmail_extra"><br></div></div>