<div dir="ltr"><div class="gmail_extra"><br><div class="gmail_quote">On Wed, Jun 22, 2016 at 6:06 AM, Daniel Fisher <span dir="ltr"><<a href="mailto:dfisher@vt.edu" target="_blank">dfisher@vt.edu</a>></span> wrote:<blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-style:solid;border-left-color:rgb(204,204,204);padding-left:1ex"><div dir="ltr"><div class="gmail_extra"><div class="gmail_quote"><span class=""><div><br></div></span><div>Only one authentication event occurs. The DN resolver will throw by default if more than one DN is found. If you configure it to allow multiple DNs, the first one found in the underlying collection will be used.</div><span class=""><font color="#888888"><div><br></div><div>--Daniel Fisher</div></font></span></div></div></div></blockquote><div><br></div>This is sufficiently counter-intuitive to me that I want to make sure I understand correctly. If two directory sources are used, and multiple DN resolvers and authentication handlers defined (per <a href="https://wiki.shibboleth.net/confluence/display/IDP30/LDAPAuthnConfiguration#LDAPAuthnConfiguration-AggregateDNResolver.1">https://wiki.shibboleth.net/confluence/display/IDP30/LDAPAuthnConfiguration#LDAPAuthnConfiguration-AggregateDNResolver.1</a>), then if there are in fact DNs found in both directories (the user has accounts in LDAP and AD) this will cause the aggregate DN resolver to fail, and hence the user's attempt to authenticate fail.</div><div class="gmail_quote"><br></div><div class="gmail_quote">In other words, with multiple directories (it seems fairly common, for example, to deploy MS AD and some more generic LDAP directory) the assumption behind this behavior is that the population of the directories is disjoint; thus having records with the same username in both directories is an error condition such that authN cannot succeed for such a user.<br></div><div class="gmail_quote"><br></div><div class="gmail_quote">99% of our users have records with same username and synchronized passwords in both MS AD (for Domain use and Windows-centric apps) and Oracle LDAP for eduPerson and multiple other attributes and self-service updates.  If I've got the behavior above nearly right, seems we'll have to stick with JAAS with multiple ldap's each "sufficient" for authN, foregoing features and efficiency of ldaptive.</div><div class="gmail_quote"><br></div><div class="gmail_quote">David Bantz</div><div class="gmail_quote">UA OIT IAM </div><div class="gmail_quote"><br></div></div></div>