<div dir="ltr"><div class="gmail_extra"><div class="gmail_quote">On Fri, Jul 29, 2016 at 4:19 PM, Klingenstein, Nate <span dir="ltr"><<a href="mailto:nklingenstein@calstate.edu" target="_blank">nklingenstein@calstate.edu</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-style:solid;border-left-color:rgb(204,204,204);padding-left:1ex">2016-07-29 11:23:52,909 - DEBUG [org.ldaptive.auth.PooledBindAuthenticationHandler:67] - authenticate criteria=[org.ldaptive.auth.AuthenticationCriteria@1387818266::dn=<a href="mailto:helloworld@campus.csu.edu">helloworld@campus.csu.edu</a>, authenticationRequest=[org.ldaptive.auth.AuthenticationRequest@1303344754::user=helloworld, retAttrs=[passwordExpirationTime, loginGraceRemaining]]]<br></blockquote><div><br></div><div>You're requesting return attributes.</div><div>By default that authenticator doesn't have an entryResolver, so a SearchEntryResolver is used, which is causing the non-fatal error.</div><div>In your case just comment out 'idp.authn.LDAP.returnAttributes' and no entry resolution will occur.</div><div><br></div><div>The adAuthenticator configuration is just a formatDnResolver and ActiveDirectoryAuthenticationResponseHandler.</div><div>Further experience with this configuration is causing me to question whether it was the right approach.</div><div>While Active Directory does allow LDAP binds with the UPN, it doesn't appear to be supported on all versions.</div><div>It's possible we'll recommend using the the bindSearchAuthenticator for AD instances going forward and there's certainly nothing wrong with using that approach now.</div><div><br></div><div>--Daniel Fisher</div><div><br></div></div></div></div>