<div dir="ltr"><div class="gmail_quote"><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">Maybe you posted the wrong log, but the one you posted shows an SP requesting the PPT context, so unsurprisingly that's what gets returned.<br class="gmail_msg">
<br class="gmail_msg">
In the general case that both factors are performed and the SP requests nothing, it's nominally undefined what it will return because any of them are "valid", but you can control it for most purposes by adjusting entries in the PrincipalWeightMap bean to give them relative importance to each other.<br class="gmail_msg">
<br class="gmail_msg">
-- Scott<br class="gmail_msg"><br class="gmail_msg"></blockquote><div><br></div><div>How embarrassing, it was actually my SP that was misconfigured (not a Shibboleth SP). I just didn't connect the log message from the IdP and that the SP was still requesting the PasswordProtectedTransport. After trying it with a Shib SP it worked immediately. </div><div><br></div><div>Thanks for the tip about the PrincipalWeightMap, I'll give that a try for SPs that doesn't request a specific AuthnContext.</div><div><br></div><div>Thank you for the help! :)</div><div><br></div><div>Cheers</div><div>Stefan</div></div></div>