<div dir="ltr">Thanks to both of you for the responses.  I will write an external flow and use the RemoteUser servlet as the base.  <div>Really appreciate the guidance, it saves a lot of time to go down the correct path.  </div><div><br></div><div>I do believe we'll clear a cookie to force reauth, that approach will work well for us.</div><div>Joe Jerista </div><div><br></div><div><br></div></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Mon, Oct 28, 2024 at 6:34 PM Christopher Bongaarts via users <<a href="mailto:users@shibboleth.net">users@shibboleth.net</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">On 10/28/2024 9:45 AM, Cantor, Scott via users wrote:<br>
> The MFA flow already supports ForceAuthn. It's your external mechanism that doesn't.<br>
><br>
> Nor is building an External hook that supports authn "writing a new flow", they're fundamentally different approaches. External is about not having to build a webflow.<br>
><br>
> External is a login flow that calls out to a servlet/JSP. Your job is building that, only. RemoteUser is just External with a built-in servlet.<br>
<br>
Having done both, I concur with Scott - building an External method is <br>
less work than writing a new authn flow.  You could even use the <br>
RemoteUser servlet as a base to work from.<br>
<br>
The biggest issue is, assuming you want to force reauthentication on the <br>
first factor, how to signal it.  Depending on the first factor, it might <br>
be a matter of adding parameters to a redirect, or clearing a cookie for <br>
the first factor before redirecting to the servlet.<br>
<br>
-- <br>
%%  Christopher A. Bongaarts   %%  <a href="mailto:cab@umn.edu" target="_blank">cab@umn.edu</a>          %%<br>
%%  OIT - Identity Management  %%  <a href="http://umn.edu/~cab" rel="noreferrer" target="_blank">http://umn.edu/~cab</a>  %%<br>
%%  University of Minnesota    %%  +1 (612) 625-1809    %%<br>
<br>
-- <br>
For Consortium Member technical support, see <a href="https://shibboleth.atlassian.net/wiki/x/ZYEpPw" rel="noreferrer" target="_blank">https://shibboleth.atlassian.net/wiki/x/ZYEpPw</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.net</a><br>
</blockquote></div>