<div dir="ltr"><div dir="ltr"><div class="gmail_quote"><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">The real complexity is in the Principal object machinery, which is the other side of the map's value pair. That's not all that important if all the JAAS options amount to a single "kind" of authentication. If it were all just "password" login options that are equivalent to the outside world, then you can leave the Subject "slot" empty, and it's a bit simpler.<br></blockquote><div><br></div>We're looking at using this to allow our IDP to authenticate both against our KDC and our DB backed guest accounts.<div>Can I simplify the configuration if I have to support more than just "password"?<br></div><div><br></div><div>Is it possible to return an error (that can bubble up to the UI) if the user tries to authentication with combination that isn't supported?</div><div><div>The guest accounts aren't currently allowed to use MFA, and in the current configuration, if someone tries a guest account, I see an error in my log...</div></div><div><br></div><div>2019-03-28 19:36:09,497 - xxx.xxx.xxx.xxx - DEBUG [net.shibboleth.idp.authn.impl.ValidateUsernamePasswordAgainstJAAS:318] - Profile Action ValidateUsernamePasswordAgainstJAAS: Skipping JAAS config 'GuestPasswordAuth', not compatible with request's principal requirements<br></div><div><br></div><div>but the user just sees a fresh login screen again w/ no feedback.</div><div><br></div><div>Liam</div></div></div></div>