<div dir="ltr"><div><div><div><div><div>Scott, thanks. <br>I understand now why the IdP is doing the right thing. I have access to configure the SP in the right way. The SP is using python-saml and in the conf I found this:<br><br><pre><span class="">// Authentication context.<br>// Set to false and no AuthContext will be sent in the AuthNRequest,<br>// Set true or don't present this parameter and you will get an AuthContext 'exact' 'urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport'<br>// Set an array with the possible auth context values: array ('urn:oasis:names:tc:SAML:2.0:ac:classes:Password', 'urn:oasis:names:tc:SAML:2.0:ac:classes:X509'),<br>'requestedAuthnContext': true,<br>// Allows the authn comparison parameter to be set, defaults to 'exact' if the setting is not present.<br>'requestedAuthnContextComparison': 'exact',<br></span></pre><br></div>So, I will try setting requestedAuthnContext to false and try again. The metadata should stop to ask for urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport<br><br></div>I will let you know if I have luck. :)<br><br></div>Thanks again Scott,<br><br></div>Best<br><br></div>Maxi<br></div>