<div dir="ltr"><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><span class="gmail-">> or, for some custom AuthnContextClassRef, I need to check that ForceAuthn is set to 1.<br></span>That would also be incorrect. AuthnContexts are orthogonal to ForceAuthn.<br>These are not appropriate SAML requirements.<br><div class="gmail-HOEnZb"><div class="gmail-h5"><br></div></div></blockquote><div>Exactly, that's why I think I need custom checks. These restrictions are demanded by my federation, not by SAML specs. It's like my federation allows only a subset of possible SAML use scenarios.</div></div><div class="gmail_extra"><br><div class="gmail_quote">2016-11-04 19:22 GMT+01:00 Cantor, Scott <span dir="ltr"><<a href="mailto:cantor.2@osu.edu" target="_blank">cantor.2@osu.edu</a>></span>:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><span class="">> For example, our regulation says that the element Issuer must include the<br>
> attributes Format and NameQualifier;<br>
<br>
</span>That would be wrong. The Issuer element should never contain NameQualifier for the SSO profile, and while it could contain Format, the value would have to be a particular value and so is generally never set. Requiring that both be set would be incorrect. Not just a bad idea, literally incorrect.<br>
<span class=""><br>
> or, for some custom AuthnContextClassRef, I need to check that ForceAuthn is set to 1.<br>
<br>
</span>That would also be incorrect. AuthnContexts are orthogonal to ForceAuthn.<br>
<br>
These are not appropriate SAML requirements.<br>
<div class="HOEnZb"><div class="h5"><br>
-- Scott<br>
<br>
<br>
--<br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.<wbr>net</a><br>
</div></div></blockquote></div><br></div>