<div dir="ltr">We get that the normal flow is the AD bind attempt fails if the account is expired with the generic "49" bind failed and data code 701 indicating that while the user account / password combination is correct but the account is expired.<br><br>For local historical reasons, a few key services want to allow such accounts to access in that scenario. Accounts for former students and employees expire, but are entitled to a small subset of services. We do have a means of doing so with our IdP - a proxy in front of the LDAP (AD) that intercepts the message (error 49, data code 701) and re-writes that to a "success" response to the IdP. That proxy service is configured as a failover (4th in line after "normal" AD instances fail to authenticate the user) has too often been a point of failure; I was hoping we could get the Shibb IdP to fulfill that purpose more reliably. <br><br>Thanks Scott and Peter; we can function with what we have for now.<div><br></div><div>David St Pierre Bantz</div></div><br><div class="gmail_quote gmail_quote_container"><div dir="ltr" class="gmail_attr">On Tue, May 6, 2025 at 2:08 PM Peter Schober via users <<a href="mailto:users@shibboleth.net">users@shibboleth.net</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">Cantor, Scott via users <<a href="mailto:users@shibboleth.net" target="_blank">users@shibboleth.net</a>> [2025-05-06 23:38 CEST]:<br>
> By that time, it's already failed.<br>
<br>
In slightly other words: The LDAP return code in these case is 49<br>
"invalid credentials", <a href="https://www.rfc-editor.org/rfc/rfc4511#section-4.1.9" rel="noreferrer" target="_blank">https://www.rfc-editor.org/rfc/rfc4511#section-4.1.9</a><br>
i.e., the server rejected the bind request.<br>
Everything else is here merely decoration of that result, cf.<br>
<a href="https://ldapwiki.com/wiki/Wiki.jsp?page=Common%20Active%20Directory%20Bind%20Errors" rel="noreferrer" target="_blank">https://ldapwiki.com/wiki/Wiki.jsp?page=Common%20Active%20Directory%20Bind%20Errors</a><br>
<br>
(via <a href="https://www.ldaptive.org/docs/guide/authentication/accountstate" rel="noreferrer" target="_blank">https://www.ldaptive.org/docs/guide/authentication/accountstate</a><br>
but the link to the ldapwiki there is broken).<br>
<br>
HTH,<br>
-peter<br>
-- <br>
For Consortium Member technical support, see <a href="https://shibboleth.atlassian.net/wiki/x/ZYEpPw" rel="noreferrer" target="_blank">https://shibboleth.atlassian.net/wiki/x/ZYEpPw</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.net</a><br>
</blockquote></div>