<div dir="ltr"><div class="gmail_extra"><br><div class="gmail_quote">On Tue, Feb 7, 2017 at 12:32 PM, Cantor, Scott <span dir="ltr"><<a href="mailto:cantor.2@osu.edu" target="_blank">cantor.2@osu.edu</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div id="gmail-:gm6" class="gmail-a3s gmail-aXjCH gmail-m15a19d91ad27fbc6">I simply used the wrong terminology.</div></blockquote><div><br></div><div>It worked when I changed it to init-param.</div><div><br></div><div>So... our configuration uses two locally modified copies of remoteuser-authn: remoteuserplus and remoteusertoken.</div><div><br></div><div>RemoteUserPlus</div><div>- supports isPassive, forceAuthn</div><div>- supports PasswordProtectedTransport, Password and unspecified</div><div><br></div><div>RemoteUserToken</div><div>- supports TimeSyncToken</div><div><br></div><div>My authentication flows are set for "remoteuserplus|remoteusertoken|RemoteUserInternal"</div><div><br></div><div>If I set my authnMethodHeader to include TimeSyncToken, I see...</div><div><br></div><div><div>2017-02-07 15:08:49,292 - WARN [net.shibboleth.idp.authn.impl.RemoteUserAuthServlet:280] - xxx.xxx.xxx.xxx - Unable to locate a suitable Principal for authentication method from header UMAuthnContext: urn:oasis:names:tc:SAML:2.0:ac:classes:TimeSyncToken</div></div><div><br></div><div>...and then evaluates the possible flows...</div><div><br></div><div><div>2017-02-07 15:08:36,847 - DEBUG [net.shibboleth.idp.authn.impl.InitializeRequestedPrincipalContext:111] - xxx.xxx.xxx.xxx - Profile Action InitializeRequestedPrincipalContext: Profile configuration does not include any default authentication methods</div><div>2017-02-07 15:08:36,848 - DEBUG [net.shibboleth.idp.saml.saml2.profile.impl.ProcessRequestedAuthnContext:146] - xxx.xxx.xxx.xxx - Profile Action ProcessRequestedAuthnContext: AuthnRequest did not contain a RequestedAuthnContext, nothing to do</div><div>2017-02-07 15:08:36,856 - DEBUG [net.shibboleth.idp.authn.impl.PopulateAuthenticationContext:126] - xxx.xxx.xxx.xxx - Profile Action PopulateAuthenticationContext: Installing custom PrincipalEvalPredicateFactoryRegistry into AuthenticationContext</div><div>2017-02-07 15:08:36,856 - DEBUG [net.shibboleth.idp.authn.impl.PopulateAuthenticationContext:167] - xxx.xxx.xxx.xxx - Profile Action PopulateAuthenticationContext: Installed 3 authentication flows into AuthenticationContext</div><div>2017-02-07 15:08:36,857 - DEBUG [net.shibboleth.idp.session.impl.PopulateSessionContext:131] - xxx.xxx.xxx.xxx - Profile Action PopulateSessionContext: No session found for client</div><div>2017-02-07 15:08:36,859 - DEBUG [net.shibboleth.idp.authn.impl.FilterFlowsByForcedAuthn:53] - xxx.xxx.xxx.xxx - Profile Action FilterFlowsByForcedAuthn: Request does not have forced authentication requirement, nothing to do</div><div>2017-02-07 15:08:36,860 - DEBUG [net.shibboleth.idp.authn.impl.FilterFlowsByPassivity:53] - xxx.xxx.xxx.xxx - Profile Action FilterFlowsByPassivity: Request does not have passive requirement, nothing to do</div><div>2017-02-07 15:08:36,861 - DEBUG [net.shibboleth.idp.authn.impl.FilterFlowsByNonBrowserSupport:53] - xxx.xxx.xxx.xxx - Profile Action FilterFlowsByNonBrowserSupport: Request does not have non-browser requirement, nothing to do</div><div>2017-02-07 15:08:36,862 - DEBUG [net.shibboleth.idp.authn.impl.SelectAuthenticationFlow:257] - xxx.xxx.xxx.xxx - Profile Action SelectAuthenticationFlow: No specific Principals requested</div><div>2017-02-07 15:08:36,862 - DEBUG [net.shibboleth.idp.authn.impl.SelectAuthenticationFlow:292] - xxx.xxx.xxx.xxx - Profile Action SelectAuthenticationFlow: No usable active results available, selecting an inactive flow</div><div>2017-02-07 15:08:36,863 - DEBUG [net.shibboleth.idp.authn.impl.SelectAuthenticationFlow:334] - xxx.xxx.xxx.xxx - Profile Action SelectAuthenticationFlow: Selecting inactive authentication flow authn/RemoteUserInternal</div><div>2017-02-07 15:08:36,991 - DEBUG [net.shibboleth.idp.authn.impl.ExtractRemoteUser:160] - xxx.xxx.xxx.xxx - Profile Action ExtractRemoteUser: No user identity found in request</div><div>2017-02-07 15:08:36,993 - INFO [net.shibboleth.idp.authn.impl.SelectAuthenticationFlow:130] - xxx.xxx.xxx.xxx - Profile Action SelectAuthenticationFlow: Moving incomplete flow authn/RemoteUserInternal to intermediate set</div><div>2017-02-07 15:08:36,994 - DEBUG [net.shibboleth.idp.authn.impl.SelectAuthenticationFlow:257] - xxx.xxx.xxx.xxx - Profile Action SelectAuthenticationFlow: No specific Principals requested</div><div>2017-02-07 15:08:36,995 - DEBUG [net.shibboleth.idp.authn.impl.SelectAuthenticationFlow:292] - xxx.xxx.xxx.xxx - Profile Action SelectAuthenticationFlow: No usable active results available, selecting an inactive flow</div><div>2017-02-07 15:08:36,995 - DEBUG [net.shibboleth.idp.authn.impl.SelectAuthenticationFlow:334] - xxx.xxx.xxx.xxx - Profile Action SelectAuthenticationFlow: Selecting inactive authentication flow authn/remoteuserplus</div></div><div><br></div><div>...but only looks at RemoteUserPlus and RemoteUserInternal, skipping over the flow that supports TimeSyncToken - RemoteUserToken.</div><div><br></div><div>Should it have looked at RemoteUserToken?</div><div><br></div><div>Liam</div><div><br></div></div></div></div>