<div dir="ltr"><div>I'm using a shibboleth sp v2.5.6 (linux/apache 2.4) and the shibboleth idp v3.1.2 and am trying to get forceAuthn and maxTimeSinceAuthn to work. Initial login flow works as intended, i.e. redirected to IDP to auth, then redirected back to the app and logged in. </div><div><br></div><div>I now have a need to force all subsequent requests to login to redirect the user back to the IDP to re-enter their credentials. I set forceAuthn="true" in my ApplicationOverride SSO attribute and maxTimeSinceAuth="30" in the ApplicationOverride Sessions attribute (see below). After I wait 30 (and more) seconds and go to relogin, I do not get sent back to the IDP and using network tracing in chrome I see that the SP is not even re-requesting a re-auth from the IDP.</div><div><br></div><div>Yes, I've been restarting shibd and apache after config changes.</div><div><br></div><div>Does anyone have any ideas why shibd isn't forcing a re-auth? Or see what might be off in my configuration?</div><div><br></div><div>Relevant part of my SP ApplicationOverride config:</div><div><br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">     <ApplicationOverride id="njdev212149-appid" entityID="<a href="https://njdev212149.corp.company.com/shibboleth">https://njdev212149.corp.company.com/shibboleth</a>" sessionHook="/sso/sso_validate.k"><br>            <Sessions lifetime="28800" timeout="3600" checkAddress="false" relayState="ss:mem" handlerSSL="true" cookieProps="https" maxTimeSinceAuthn="30" ><br>                <SSO entityID="<a href="https://testidp.corp.company.com/idp/shibboleth">https://testidp.corp.company.com/idp/shibboleth</a>" forceAuthn="true" ><br>                SAML2<br>                </SSO><br>                <Logout>SAML2 Local</Logout></blockquote><div>... </div><div><br></div><div>Relevant apache/shib config:</div><div><br></div><div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">    <Location ~ "/cgi-bin/.*/sso"><br>        AuthType shibboleth<br>        Require shib-session<br>        # ShibCompatWith24 On   # Only needed if not using apache 2.4<br>        ShibUseEnvironment On<br>        ShibRequestSetting requireSession 1<br>        ShibRequestSetting applicationId njdev212149-appid<br>        ShibRequestSetting entityID <a href="https://testidp.corp.company.com/idp/shibboleth">https://testidp.corp.company.com/idp/shibboleth</a><br>        AddHandler cgi-script .k<br>        Options +FollowSymlinks +ExecCGI<br>        Order allow,deny<br>        Allow from all<br>    </Location><br>    <Location /><br>        ShibRequestSetting applicationId njdev212149-appid<br>    </Location><br>    <Location /Shibboleth.sso><br>        Satisfy Any<br>        Allow from all<br>        SetHandler shib<br>    </Location></blockquote></div><div><br></div><div>Thank you!</div><div><br></div>-- <br><div class="gmail_signature"><div dir="ltr"><div>Romeo Theriault<br></div></div></div>
</div>