<div dir="ltr">Why is it that when shibboleth.authn.Password.RetainAsPrivateCredential is enabled, the password remains available after the initial authentication event, but with shibboleth.authn.Krb5.PreserveTicket, the TGT is only available during the initial event?<div><br></div><div>I see the note in <a href="https://wiki.shibboleth.net/confluence/display/IDP30/ScriptedAttributeDefinition">https://wiki.shibboleth.net/confluence/display/IDP30/ScriptedAttributeDefinition</a></div><div><br></div><div>    "A variable named subjects, an array of the java javax.security.auth.Subject</div><div>    objects associated with this authorization.  Note that these will only be present</div><div>    if the attribute resolution has been associated with an act of authentication </div><div>    (and so this will not work for back channel requests)."<br><div><br></div></div><div>I know that keeping the user's credential (for replay?) stashed in their session isn't the best of ideas... but I'd think that the TGT might be safer to store than the password (since TGTs expire).</div><div><br></div><div>Liam</div><div><br></div></div>