<div dir="ltr"><div><div>My bad Scott, apologies. I was looking in the wrong place. I didn't realize the properties were mutually exclusive.<br><br></div>Regarding, X509 as initial authn, I'm just testing a use case where we want to use certs for primary authn followed by another factor. That's where I was trying to replicate the MCB stuff based on one of the documents in the wiki. The idea is to get away from using password for authn. So, I'm trying things out in my test environment.<br><br></div>Pradeep<br></div><div class="gmail_extra"><br><div class="gmail_quote">On Mon, May 9, 2016 at 6:53 AM, Cantor, Scott <span dir="ltr"><<a href="mailto:cantor.2@osu.edu" target="_blank">cantor.2@osu.edu</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><span class="">> Th X509 flow is enabled globally in 'idp.properties' and the flow descriptor has<br>
> been defined in 'general-authn.xml'. The initial authn works fine with client<br>
> certs but once I go past the prompt i.e. x509-prompt.jsp, I get the warning<br>
> and error message.<br>
<br>
</span>To get the error you cannot have the flow enabled, that's pretty much it. You simply cannot have included it as one of the flows identified in the idp.authn.flows property. You enabled it in the idp.intial-authn.flows property, but not the main one.<br>
<br>
I told you already: stop using the initial-authn feature and you should be fine. Using it with X.509 doesn't make any sense, so you don't need to do what you're doing.<br>
<span class=""><br>
> The authentication succeeds and I can SSO to the application but I think the<br>
> IdP is unable to store the session. To test this, I just deleted the application<br>
> cookies and then tried to login again. It prompted me for the cert again even<br>
> though I had my idp session active.<br>
<br>
</span>I'm aware it can't store the session, and the log indicates the reason is that the flow isn't enabled.<br>
<span class=""><br>
> Any reason this could happen? I do have the MCB configured in my test<br>
> environment but I don't think that would interfere with the initial or x509<br>
> authn. Just sharing ...<br>
<br>
</span>There is no MCB in V3.<br>
<br>
The error means the flow is not enabled. End of story.<br>
<div class="HOEnZb"><div class="h5"><br>
-- Scott<br>
<br>
<br>
--<br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.net</a><br>
</div></div></blockquote></div><br></div>