<div dir="ltr"><div class="gmail_extra"><div class="gmail_quote">On Sun, May 7, 2017 at 6:26 AM, Cantor, Scott <span dir="ltr"><<a href="mailto:cantor.2@osu.edu" target="_blank">cantor.2@osu.edu</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><span class="gmail-">On 5/5/17, 8:46 PM, "users on behalf of Romeo Theriault" <<a href="mailto:users-bounces@shibboleth.net">users-bounces@shibboleth.net</a> on behalf of <a href="mailto:romeotheriault@gmail.com">romeotheriault@gmail.com</a>> wrote:<br>
<br>
> So, if an assertion from the IDP came in after the maxTimeSinceAuthn timeout the SP would then redirect to the IDP for a re-<br>
> authentication?<br>
<br>
</span>No. if the assertion's AuthnInstant is older than that setting, then an error occurs. It applies to assertion acceptance, not request processing.<br></blockquote><div><br></div><div>Apologies, I don't understand the difference. Can you please share an example of when and how someone would use forceAuthn and maxTimeSinceAuthn? </div><div><br></div><div><br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><span class="gmail-">
> Step one of what I'm after is to have a SAML protected resource that requires a re-authentication with the IDP anytime it's<br>
> accessed. Basically, I want to disable SSO on this one resource. Would I simply set the sessions lifetime really low in addition<br>
> to using forceAuthn and maxTimeSinceAuthn?<br>
<br>
</span>No. The only way to do that is to isolate the resource into an ApplicationOverride, or to turn off requireSession and have the resource implemented dynamically enough to control all of that itself by examining the AuthnInstant at runtime to decide whether to honor the session.<br></blockquote><div><br></div><div>Ok, good to know. Assuming I would get this specific resource in it's own ApplicationOverride what would be the *recommended* way of having someone re-authenticate on every access? Just setting a low session timeout won't ask the IDP to have them login again....</div><div><br></div><div>Thanks for any direction on this.</div><div><br></div><div><br></div><div> </div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">
<div class="gmail-HOEnZb"><div class="gmail-h5"><br>
-- Scott<br>
<br>
<br>
--<br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.<wbr>net</a><br>
</div></div></blockquote></div><br><br clear="all"><div><br></div>-- <br><div class="gmail_signature"><div dir="ltr"><div>Romeo Theriault<br></div></div></div>
</div></div>