<div dir="ltr">I am updating our 4.0.1 IdP authn configuration to use a SAML proxy (for all users). One of our SPs requests AuthnContextClassRef urn:oasis:names:tc:SAML:2.0:ac:classes:Password. However, the proxied IdP's AuthnStatement "specifies" urn:oasis:names:tc:SAML:2.0:ac:classes:unspecified. We have no control over the proxied IdP but it does enforce MFA for all but a fraction of a percent of our users. Logins to this SP yield:<br><br><font face="monospace">2021-02-23 22:54:31,964 - WARN [net.shibboleth.idp.authn.impl.FinalizeAuthentication:168] - Profile Action FinalizeAuthentication: Authentication result for flow authn/SAML did not satisfy the request</font><br><br>I can workaround this issue by setting the below in conf/authn/saml-authn-config.xml:<br><br><font face="monospace"><util:constant id="shibboleth.authn.SAML.addDefaultPrincipals" static-field="java.lang.Boolean.TRUE"/></font><br><br>Heeding the warning that precedes this option, I undid the above and configured a mapping in conf/authn/authn-comparison.xml. This worked as well:<br><br><font face="monospace">    <util:map id="shibboleth.PrincipalProxyResponseMappings"><br>        <entry><br>            <key><br>                <bean parent="shibboleth.SAML2AuthnContextClassRef"<br>                    c:classRef="urn:oasis:names:tc:SAML:2.0:ac:classes:unspecified" /><br>            </key><br>            <list><br>                <bean parent="shibboleth.SAML2AuthnContextClassRef"<br>                    c:classRef="urn:oasis:names:tc:SAML:2.0:ac:classes:Password" /><br>            </list><br>        </entry><br>    </util:map></font><br><br>I presume the second option is the preferred method. Before I promote this to production, is there anything wrong with this configuration, or anything that should be done differently? Thanks!<div><br></div><div>ajs<br>-- <br><div dir="ltr" class="gmail_signature" data-smartmail="gmail_signature"><div dir="ltr"><div><div dir="ltr"><div><div dir="ltr"><div><div dir="ltr"><div><div dir="ltr"><div><div dir="ltr"><div dir="ltr"><div dir="ltr"><b>Tony Skalski</b></div><div dir="ltr">System Administrator | IT</div><div dir="ltr"><img src="https://docs.google.com/uc?export=download&id=0B8pehFb2jk1VTlJUMXNxQzlUZ0k&revid=0B8pehFb2jk1VR0ZGVzBjRksvU1NMQUdwSzNIa05Ea08ydjFFPQ" width="200" height="77"><br></div><div dir="ltr"><b>Office: </b><a href="tel:(507)786-3227" target="_blank">507-786-3227</a></div><div dir="ltr">1510 St. Olaf Avenue Northfield, MN 55057</div><div dir="ltr"><a href="http://stolaf.edu" target="_blank">stolaf.edu</a></div><div><div><br></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div>