<div dir="ltr">What SSO are you using to provide the REMOTE_USER information.  Do it have a means for forcing reauthentication?<div><br></div><div>We're using some code we got from U-W that implements a forceAuthn capable RemoteUser login handler, but the SSO you're tying it to has to support it.</div><div><br></div><div>Liam</div></div><div class="gmail_extra"><br><div class="gmail_quote">On Mon, Oct 30, 2017 at 7:05 AM, Matthew Slowe <span dir="ltr"><<a href="mailto:M.Slowe@kent.ac.uk" target="_blank">M.Slowe@kent.ac.uk</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">Good day!<br>
<br>
This is possibly in relation to the recent "Office 365 + Shibboleth ?"<br>
thread and has come about because we have Mac users who are unable to<br>
Activate their Office installations because Microsoft seem to have<br>
started requesting ForceAuthn in the requests for this.<br>
<br>
<br>
We're using the RemoteUserInternal authentication flow (in this case to<br>
facilitate using another SAML2 IDP as the Authentication source -<br>
modmellon is configured as part of Apache and handles the<br>
Authentication, passing in the REMOTE_USER variable based on the<br>
returned assertion from upstream).<br>
<br>
This was working great... until the downstream SP started setting<br>
ForceAuthn="true" on *some* incoming requests.<br>
<br>
Shibboleth is, quite rightly, configured to reject this for RemoteUser*<br>
authentication flows:<br>
<br>
> 2017-10-27 08:11:38,624 - DEBUG [net.shibboleth.idp.authn.<wbr>impl.FilterFlowsByForcedAuthn:<wbr>?] - Profile Action FilterFlowsByForcedAuthn: Removing flow authn/RemoteUserInternal, it does not support forced authentication<br>
> 2017-10-27 08:11:38,624 - INFO [net.shibboleth.idp.authn.<wbr>impl.FilterFlowsByForcedAuthn:<wbr>?] - Profile Action FilterFlowsByForcedAuthn: No potential authentication flows remain after filtering<br>
<br>
We are pursuing the SP to understand why it's setting ForceAuthn (but<br>
it's Microsoft/Office365 and is currently being a bit of a black-hole).<br>
<br>
I can see three possible ways out of this:<br>
<br>
1) Configure Shibboleth IDP to lie about ForceAuthn<br>
<br>
I seem to be able to configure the general-authn.xml file to claim<br>
support for forced authentication for the RemoteUserInternal. I have not<br>
tried this and don't know if it will cause issues further down within<br>
the IDP code. I don't really like this as a solution - it goes against<br>
the grain somewhat - however it would be a very quick-win way out for now.<br>
<br>
Would updating the config in this way work?<br>
<br>
<br>
2) Configure Shibboleth IDP to use another SAML2 IDP for upstream<br>
authentication<br>
<br>
There seem to be ways to configure the IDP to use CAS etc as an upstream<br>
authentication provider. Is there a way to do this but over SAML2 instead?<br>
<br>
I would need to be able to continue to support RemoteUser requests for<br>
some endpoints - notably the ECP ones.<br>
<br>
<br>
3) Reconfigure the IDP to do the AuthN itself to LDAP<br>
<br>
Not high on my list of things I'd like to do as it would break the SSO<br>
model we currently use internally and would require a bunch of comms to<br>
users to warn them the login screen for some services is going to change<br>
etc.<br>
<br>
<br>
<br>
Also happy to take other suggestions?<br>
<br>
Thanks,<br>
foo<br>
<span class="HOEnZb"><font color="#888888"><br>
--<br>
Matthew Slowe | Server Infrastructure Officer<br>
IT Infrastructure, Information Services, University of Kent<br>
Room S21, Cornwallis South<br>
Canterbury, Kent, CT2 7NZ, UK<br>
Tel: <a href="tel:%2B44%20%280%291227%20824265" value="+441227824265">+44 (0)1227 824265</a><br>
<br>
<a href="http://www.kent.ac.uk/is" rel="noreferrer" target="_blank">www.kent.ac.uk/is</a> | @UnikentUnseenIT | @UKCLibraryIt<br>
PGP: <a href="https://keybase.io/fooflington" rel="noreferrer" target="_blank">https://keybase.io/fooflington</a><br>
--<br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.<wbr>net</a><br>
</font></span></blockquote></div><br></div>