<div dir="ltr">I know this has been discussed before, but the information seems a bit scattered, so I wanted to check my overall understanding.<div><br></div><div>I have a requirement to implement electronic signatures. More specifically, this means that the application gets to request re-authentication in response to certain application-specific events.</div><div><br></div><div>Here's what I <b>think</b> I need to do.</div><div><br></div><div><ul><li>When the application needs re-authentication, redirect to (assuming default handler locations) <font face="monospace, monospace">/Shibboleth.sso/Login?target=<b>{current-url}</b>&forceAuthn=true</font></li><li>When control returns to the application, check the <font face="monospace, monospace">Shib-Authentication-Instant</font> environment variable to ensure that re-authentication actually occurred (with allowance for latency and clock skew).</li></ul><div><br></div><div>Is this sufficient? What am I missing, or any better approach?</div><div><br></div><div>(This is all assuming that the IdP supports <font face="monospace, monospace">ForceAuthn</font>, and is using an authentication method for which that has a reasonable interpretation.)</div><div><br></div>-- <br><div class="gmail_signature"><div dir="ltr">Best regards,<br><br>Robert Lowe<br><a href="http://crepuscular.rmlowe.com/" target="_blank">http://crepuscular.rmlowe.com/</a></div></div>
</div></div>