<div dir="ltr">IdP 3.3.1 using the extended detailed messaging in combination with jaas.config for password authn:<div><br></div><div>1. The identical message for "account_locked" seems to be triggered by two rather different events: </div><div>   (a) an IdP initiated temporary lockout triggered by repeated failed authN, per <a href="https://wiki.shibboleth.net/confluence/display/IDP30/PasswordAuthnConfiguration#PasswordAuthnConfiguration-AccountLockout3.3">https://wiki.shibboleth.net/confluence/display/IDP30/PasswordAuthnConfiguration#PasswordAuthnConfiguration-AccountLockout3.3</a>, affecting only authN via the IdP, and </div><div>   (b) encountering a locked directory account, presumably requiring some action by the directory admins to unlock.<br><br></div><div>It seems these should be distinguished.</div><div><br></div><div>2. With multiple directories for authN in JAAS.config denoted "sufficient," a user that fails to be found (no directory entry) in a directory, then is found in a subsequent directory, but fails authN because of an invalid password, receives the "not found" error message on the login page. This is of course mis-leading to the user who has been found in a second or third directory source, but failed instead because they submitted an incorrect password.</div><div><br></div><div>Have I insufficiently or mis-configured these features?</div><div><br></div><div>David Bantz</div></div>