<div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr">Sorry, I have sent you an unfinished email. </div><div dir="ltr"><br></div><div dir="ltr"><div>> Principal identifies a user.A user may have many principals such as mail address,SNS account and so on.</div><div>> When not using MFA,principal can be defined automatically.When using X509 process alone,</div><div>> principal defines common name of certificates.</div><div><br></div><div>When using MFA,principal can not be defined automatically,</div><div>it's because MFA has many flows which has a principal.</div><div>So we have to write definitely  what a principal is in MFA Script.</div><div><br></div><div class="gmail_quote"><div dir="ltr" class="gmail_attr">2019年2月4日(月) 15:22 Noriyuki TAKEI <<a href="mailto:ntakei@sios.com">ntakei@sios.com</a>>:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-style:solid;border-left-color:rgb(204,204,204);padding-left:1ex"><div dir="ltr"><div dir="ltr">Hi,Nate.<div><br></div><div>Thanks for your quick reply.</div><div><br></div><div>I'm sorry for not understanding "principal" well.</div><div><br></div><div>My guess that what "Principal" means is as follows.</div><div><br></div><div>Principal identifies a user.A user may have many principals such as mail address,SNS account and so on.</div><div>When not using MFA,principal can be defined automatically.When using X509 process alone,</div><div>principal defines common name of certificates.</div><div><br></div><div>Is that correct?</div><div><br></div><div>if that's correct,how can I define principal in MFA script?</div></div></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">2019年2月4日(月) 8:36 Nate Klingenstein <<a href="mailto:ndk@signet.id" target="_blank">ndk@signet.id</a>>:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-style:solid;border-left-color:rgb(204,204,204);padding-left:1ex">Noriyuki,<br>
<br>
It's not the principal type that's the problem.  It's the actual principal name that you're getting out of the authentication process.  It's probably different for MFA or Password, and the principal name that you get out of MFA process is probably different than the principal name that you're getting out of the Password process alone.  This depends totally on how you wrote the MFA script.  I believe the log should clearly show the principal name that it's using for both LDAP queries, and the Password one successfully matches an ImmutableID, and the MFA one doesn't.<br>
<br>
Hope this helps,<br>
Nate.<br>
-- <br>
For Consortium Member technical support, see <a href="https://wiki.shibboleth.net/confluence/x/coFAAg" rel="noreferrer" target="_blank">https://wiki.shibboleth.net/confluence/x/coFAAg</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.net</a><br>
</blockquote></div><br clear="all"><div><br></div></blockquote></div><div><br></div><br></div></div></div></div></div>