<div dir="ltr"><div dir="ltr"><div class="gmail_default" style="font-family:verdana,sans-serif"><span style="font-family:Arial,Helvetica,sans-serif">On Wed, Aug 24, 2022 at 12:34 AM Lipscomb, Gary via users <<a href="mailto:users@shibboleth.net">users@shibboleth.net</a>> wrote:</span><br></div></div><div class="gmail_quote"><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div class="gmail-msg-4626772806378402335">





<div lang="EN-AU" style="overflow-wrap: break-word;">
<div class="gmail-m_-4626772806378402335WordSection1">
<p class="MsoNormal"><span>Thanks Dan,<u></u><u></u></span></p>
<p class="MsoNormal"><span><u></u> <u></u></span></p>
<p class="MsoNormal"><span>We already have that set and password expiration works. We get a warning displayed from 10 days prior to password expiration.<u></u><u></u></span></p>
<p class="MsoNormal"><span>It’s just adding the additional pwdReset and pwdMustChange don’t do anything using SSO but work with ldapsearch CLI.</span></p></div></div></div></blockquote><div><br></div><div class="gmail_default" style="font-family:verdana,sans-serif">Try adding CHANGE_AFTER_RESET to the ExpiredPassword entry of shibboleth.authn.Password.ClassifiedMessageMap.</div><div class="gmail_default" style="font-family:verdana,sans-serif">(Assuming you want to treat this condition as an expired password.)</div><div class="gmail_default" style="font-family:verdana,sans-serif">I *think* that will fire an expired password warning event, but it's not something I've tried before.</div><div class="gmail_default" style="font-family:verdana,sans-serif"><br></div><div class="gmail_default" style="font-family:verdana,sans-serif">--Daniel Fisher</div><div class="gmail_default" style="font-family:verdana,sans-serif"></div></div></div>