<div dir="ltr"><div>Hi,</div><div>I set up a Shibboleth IdP 3.2.1 and a Shibboleth SP 2.5.4.</div><div>The SP is configured to protect some locations, such as:</div><div><a href="https://sp.url/level1">https://sp.url/level1</a></div><div><a href="https://sp.url/level2">https://sp.url/level2</a></div><div><br></div><div>Each location is bound to a different custom authnContextClass: level1 requires user-pwd, level2 requires user-pwd and OTP.</div><div>Now, the authentication works on both locations, but once I'm authenticated to a level I can access any level in that SP. Instead, in my scenario, I am not supposed to access an higher level of authnContextClass: when authenticated to level1 I must re-authenticate in order to access level2.</div><div>Is it possible to force this kind of behavior?</div><div><br></div><div>I have already created a flow for each custom level in shibboleth-idp/flows/authn, I configured such flows in shibboleth-idp/conf/authn/general-authn.xml, and finally I defined levels hierarchy with the bean "shibboleth.MinimumClassRefMatchFactory" in shibboleth-idp/conf/authn/authn-comparison.xml.</div><div><br></div><div>Thanks in advance</div></div>