<div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><br></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Thu, Mar 28, 2019 at 7:38 PM Cantor, Scott <<a href="mailto:cantor.2@osu.edu">cantor.2@osu.edu</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">On 3/28/19, 7:38 PM, "users on behalf of Liam Hoekenga" <<a href="mailto:users-bounces@shibboleth.net" target="_blank">users-bounces@shibboleth.net</a> on behalf of <a href="mailto:liamr@umich.edu" target="_blank">liamr@umich.edu</a>> wrote:<br>
<br>
> The guest accounts aren't currently allowed to use MFA, and in the current configuration, if someone tries a guest<br>
> account, I see an error in my log...<br>
<br>
It's better to deal with MFA logic well outside JAAS or the Password flow. The MFA layer is where that kind of work belongs. If you're talking Duo, that's something the MFA scripting can handle invoking selectively, it shouldn't impact anything near the JAAS bits.<br></blockquote><div><br></div><div>I simplified the JAAS configuration based on your suggestion to set the JAASDefaultLoginConfigurations's "second" properties to null.</div><div>That seemed to do the trick.  It also fixed an issue I was having when throwing the GEANT OIDC plugin into the mix.</div><div><br></div><div>I still wonder, though, is there anything left over in some context that says "user authenticated with JAASGuestLoginConfigurations" vs "user authenticated with JAASKerberosLoginConfigurations"?  I can make a rough guess by looking at the principal name itself (has an "@"), but I'd kind of like something more authoritative?</div><div><br></div><div>Liam</div></div></div></div></div>