<div dir="ltr">Hello<div><br></div><div>I am faced with a SP integration "newSP" into Shibboleth IDP5 which I am having difficulty addressing -</div><div><br></div><div>newSP has a forceAuthn requirement.  This comes into Shib IDP as follows in the authnrequest post  --  <span style="background-color:rgb(221,221,221);color:rgb(0,0,0);font-family:monospace;font-size:14px;white-space:pre">ForceAuthn="true"</span></div><div><span style="background-color:rgb(221,221,221);color:rgb(0,0,0);font-family:monospace;font-size:14px;white-space:pre"><br></span></div><div>Nearly all of our SPs use the basic MFA flow on our IDP, currently configured for flow authn/MFA which uses authn/RemoteUser as 1st check and authn/duoOIDC as 2nd check and is a very basic mfa-authn-config.xml</div><div><br></div><div>The problem is that authn/RemoteUser doesn't support forceAuthn so this (fully expected result) occurs:</div><div><br></div><div>- IDP selects flow MFA which "potentially" supports forceAuthn (based on the specific authn flows defined within)</div><div>- However within MFA flow the RemoteUser flow is examined and determined to not support forced re-authentication </div><div>     "ERROR [net.shibboleth.idp.authn.impl.TransitionMultiFactorAuthentication ... TransitionMultiFactorAuthentication: Targeted login flow 'authn/RemoteUser' does not support forced re-authentication"</div><div>- RequestUnsupported exception is thrown and flow terminated with Authn failure</div><div>     "A non-proceed event occurred while processing the request: RequestUnsupported"</div><div><br></div><div>The IDP5 docs recommend creating an External authn flow to handle a forcedAuthn requirement.  The main point of this mail is to ask:  Could there be another solution?  Writing a custom External Authn is a lot of effort for us to support a single SP.  Docs also say we should not modify RemoteUser OOB, which makes sense, and is also probably not the right solution as we have other SPs that use RemoteUser as part of MFA and we do not wish to enforce forceAuthn on the other SPs.  </div><div><br></div><div>I have created a custom flows before (just not External) so I could in theory write a new  "authn/mfaForcedAuthn" which has some customization but it's unclear what I might add to the corresponding mfaForcedAuthn-authn.xml to set/enforce forcedAuthn in such a scenario.  </div><div><br></div><div>If the answer is "suck it up and write the External flow" I can accept that but I want to first make sure there isn't a lower maintenance solution first.</div><div><br></div><div>Thanks for any help or guidance, </div><div>Joe Jerista</div><div><br></div></div>