<div dir="ltr">Thank you very much Peter for the reply.<div><br></div><div>We have a different application which is using same ADFS integration, but not facing this problem.</div><div>So I was thinking that if I am missing something.</div><div><br></div><div>I will check the SAML Tracing information tomorrow morning, and check if there is any difference.</div><div><br></div></div><br><div class="gmail_quote"><div dir="ltr">On Mon, Oct 1, 2018 at 1:46 PM Peter Schober <<a href="mailto:peter.schober@univie.ac.at">peter.schober@univie.ac.at</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">* Ron Harris <<a href="mailto:neo204011@gmail.com" target="_blank">neo204011@gmail.com</a>> [2018-10-01 10:06]:<br>
> Scenario 1:<br>
> User tries to access the protected page, he is directed to AFDS page, upon<br>
> successful login he gains access to protected page.<br>
> After few minutes User closes the brower. Opens the brower back and enters<br>
> the protected page url. he is redirected to ADFS page, but without having<br>
> to do login, he is directed back to protected page. It seems somehow the<br>
> username/password was injected to ADFS page.<br>
<br>
>From the above (SP redirects to IDP) it seems clear the SP session is<br>
gone but the IDP session still seems to be active, hence you<br>
experience SSO.<br>
<br>
> Scenario 2:<br>
> User tries to access the protected page after 24 hours. Now it is expected<br>
> that ADFS page be shown to user for login. But now also, the ADFS page is<br>
> injected with credentials and taken to protected page.<br>
<br>
If the SP sends the browser's subject to the IDP then it doesn't have<br>
an active session. You can see this in detail using the "SAML tracer"<br>
extension for the Firefox and Chromium/Chrome browsers.<br>
What happens at the IDP is mostly the IDP's business.<br>
<br>
> Please let me know how to make the user enter his credentials again,<br>
> when times is over for both lifetime and timeout?<br>
<br>
Look at your IDP and its sessions and timeouts.<br>
<br>
The only thing the SP can do is force re-authentcation every time it<br>
sends an authn request to the IDP, disabling SSO at the IDP completely<br>
for logins to this SP. This is likely not what you want.<br>
<br>
-peter<br>
-- <br>
For Consortium Member technical support, see <a href="https://wiki.shibboleth.net/confluence/x/coFAAg" rel="noreferrer" target="_blank">https://wiki.shibboleth.net/confluence/x/coFAAg</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.net</a><br>
</blockquote></div>