<div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div class="gmail_quote"><div dir="ltr">On Mon, Nov 5, 2018 at 4:26 PM Lille M <<a href="mailto:lillemacdoe@gmail.com">lillemacdoe@gmail.com</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr">org.ldaptive.LdapException: javax.naming.OperationNotSupportedException: [LDAP: error code 53 - Account inactivated. Contact system administrator.]<br></div><div dir="ltr">    at net.shibboleth.idp.authn.impl.ValidateUsernamePasswordAgainstLDAP.doExecute(ValidateUsernamePasswordAgainstLDAP.java:187)</div></div></div></div></blockquote><div><br></div><div>You need to configure a response handler to produce an account state.</div><div>Ldaptive doesn't ship with one specific to 389 directory server, but it does have one for FreeIPA which I believe is based on 389.</div><div>Add to ldap-authn-config.xml:</div><div><bean id="authenticationResponseHandler" class="org.ldaptive.auth.ext.FreeIPAAuthenticationResponseHandler" ></div><div><constructor-arg value="0" /><constructor-arg value="0" /><constructor-arg value="0" /></bean></div><div><br></div><div>(I left the constructor args at zero assuming you're not interested in configuring account states for successful authentication.)</div><div>If the response handler works you should be able to match on ACCOUNT_DISABLED.</div><div><br></div><div>--Daniel Fisher</div><div><br></div></div></div></div></div></div>