Hej! Det är exakt den artikeln jag har använt mig av för att sätta upp detta. Allt fungerar så långt som till jag får svaret tillbaka från ADFS. Min tolkning är att shibbolethen inte kan mappa tillbaka till refeds-signalering eftersom ADFS skickar sitt svar (…claims/multipleauthn) i ett separat attribut. <Attribute Name=http://schemas.microsoft.com/claims/authnmethodsreferences> <AttributeValue>urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport</AttributeValue> <AttributeValue>http://schemas.microsoft.com/ws/2012/12/authmethod/phoneappnotification</AttributeValue<http://schemas.microsoft.com/ws/2012/12/authmethod/phoneappnotification%3c/AttributeValue>> <AttributeValue>http://schemas.microsoft.com/claims/multipleauthn</AttributeValue<http://schemas.microsoft.com/claims/multipleauthn%3c/AttributeValue>> </Attribute> Och jag gissar att mappning förväntar sig att detta ska finnas i AuthnContext i SAML-svaret från ADFS. Från: Paul Scott &lt;paul.scott(a)kau.se&gt; Skickat: den 15 februari 2023 10:10 Till: saml-admins(a)lists.sunet.se Ämne: [Saml-admins] Re: MFA SAMLProxy Hej Roger Har tyvärr ingen erfarenhet med ADFS men undrar om lösningen inte finns i https://shibboleth.atlassian.net/wiki/spaces/KB/pages/1467056889/Using+SAML… för att översätta en ADFS multipleauthn claim till Refeds MFA? /Paul. On 2023-02-10 17:25, Mårtensson, Roger wrote: Hej! Såg att det dök upp lite frågor om MFA så jag slänger ut min fråga i hopp om att någon har lite tips. Vår IDP är konfad att använda vår ADFS via SAML Proxy. Fungerar finfint och plockar bort en del jobba onödiga inloggningar. Uppskattas av både personal och studenter. Jag har försökt att sätta upp MFA-flödet för detta men får det inte riktigt att fungera mot vår M365 MFA-integrerade ADFS. Finns bra dokumentation om detta för Azure man kan inspireras av på Shibboleth wikin. Problemet ligger i att det SAML-svar vi får som säger att nu har du loggat in med MFA kommer i ett eget attribut. Dvs ”på fel sätt”. Enligt shibboleth-listan så ska det vara möjligt att skriva om svaret så att shibboleth stoppar in värdet på rätt ställe i SAML-svaret så att REFEDS-konfigurationen kan mappa om ADFS-svaret på ett korrekt sätt. Så, är det någon som har några tips på vad man kan titta på för att komma vidare? Förvirrad, Roger Mårtensson System specialist / Systemspecialist MID SWEDEN UNIVERSITY Avdelningen för infrastruktur / Division of infrastructur E-mail: roger.martensson@miun.se<mailto:roger.martensson@miun.se> Information about the processing of personal data at Mid Sweden University: www.miun.se/en/personaldata<http://www.miun.se/en/personaldata> _______________________________________________ Saml-admins mailing list -- saml-admins@lists.sunet.se<mailto:saml-admins@lists.sunet.se> To unsubscribe send an email to saml-admins-leave@lists.sunet.se<mailto:saml-admins-leave@lists.sunet.se> -- Paul Scott <paul.scott@kau.se><mailto:paul.scott@kau.se> Systemutvecklare, IT-avdelningen, Karlstads universitet Tel: +46 (0)54-700 23 07 När du skickar e-post till Karlstads universitet behandlar vi dina personuppgifter<https://www.kau.se/gdpr>. When you send an e-mail to Karlstad University, we will process your personal data<https://www.kau.se/en/gdpr>.

Hej! Då ska jag prata vårt ADFS-folk. Har ni någon dokumentation för just detta fall? Eller räcker det med att man installerar toolkitet och gör någon enstaka konfiguration på den konfiguration vi redan har? Att byta ut Shibboleth kan klassas som ett större projekt för oss och inget man gör över en kafferast. 😊 Vet att de på shibboleth-listan pratade om att det skulle vara möjligt att hantera detta i Shibboleth men det svar jag fick gjorde det inte enklare att gräva vidare på det spåret. Var något sätt för att få attributet för att stoppa in på rätt ställe innan flödet gick vidare i inloggningen. Från: Tommy Larsson &lt;tommy.larsson(a)umu.se&gt; Skickat: den 16 februari 2023 08:59 Till: Mårtensson, Roger &lt;Roger.Martensson(a)miun.se&gt;se>; Paul Scott &lt;paul.scott(a)kau.se&gt; Kopia: saml-admins(a)lists.sunet.se Ämne: [Saml-admins] Re: MFA SAMLProxy Hej Det är korrekt, adfs släpper inte "http://schemas.microsoft.com/claims/multipleauthn"<http://schemas.microsoft.com/claims/multipleauthn%22> i detta fall. Denna sida hanterar inloggning/konfigurering direkt mot Azure. Om adfs konfigureras för att hantera refeds MFA genom ADFSToolkit så kommer AuthnContextClassRef att skickas tillbaka. /Tommy From: Mårtensson, Roger <Roger.Martensson@miun.se<mailto:Roger.Martensson@miun.se>> Sent: den 15 februari 2023 13:13 To: Paul Scott <paul.scott@kau.se<mailto:paul.scott@kau.se>> Cc: saml-admins@lists.sunet.se<mailto:saml-admins@lists.sunet.se> Subject: [Saml-admins] Re: MFA SAMLProxy Hej! Det är exakt den artikeln jag har använt mig av för att sätta upp detta. Allt fungerar så långt som till jag får svaret tillbaka från ADFS. Min tolkning är att shibbolethen inte kan mappa tillbaka till refeds-signalering eftersom ADFS skickar sitt svar (…claims/multipleauthn) i ett separat attribut. <Attribute Name=http://schemas.microsoft.com/claims/authnmethodsreferences<https://… <AttributeValue>urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport</AttributeValue> <AttributeValue>http://schemas.microsoft.com/ws/2012/12/authmethod/phoneappnotification</AttributeValue<https://eur01.safelinks.protection.outlook.com/?url=http%3A%2F%2Fschemas.microsoft.com%2Fws%2F2012%2F12%2Fauthmethod%2Fphoneappnotification%253c%2FAttributeValue&data=05%7C01%7Ctommy.larsson%40umu.se%7C00a4e5ffaff64e6be89308db0f4e1284%7C5a4ba6f9f5314f329467398f19e69de4%7C0%7C0%7C638120600973556284%7CUnknown%7CTWFpbGZsb3d8eyJWIjoiMC4wLjAwMDAiLCJQIjoiV2luMzIiLCJBTiI6Ik1haWwiLCJXVCI6Mn0%3D%7C2000%7C%7C%7C&sdata=ioXhBDcna5upnLHNJZFwm4%2BoIvMVhegplSH4m%2F%2BR1II%3D&reserved=0>> <AttributeValue>http://schemas.microsoft.com/claims/multipleauthn</AttributeValue<https://eur01.safelinks.protection.outlook.com/?url=http%3A%2F%2Fschemas.microsoft.com%2Fclaims%2Fmultipleauthn%253c%2FAttributeValue&data=05%7C01%7Ctommy.larsson%40umu.se%7C00a4e5ffaff64e6be89308db0f4e1284%7C5a4ba6f9f5314f329467398f19e69de4%7C0%7C0%7C638120600973712499%7CUnknown%7CTWFpbGZsb3d8eyJWIjoiMC4wLjAwMDAiLCJQIjoiV2luMzIiLCJBTiI6Ik1haWwiLCJXVCI6Mn0%3D%7C2000%7C%7C%7C&sdata=n0RTfaBGsig45seYhq6vUL6odd%2FrbQbhwzn0aqerCoA%3D&reserved=0>> </Attribute> Och jag gissar att mappning förväntar sig att detta ska finnas i AuthnContext i SAML-svaret från ADFS. Från: Paul Scott <paul.scott@kau.se<mailto:paul.scott@kau.se>> Skickat: den 15 februari 2023 10:10 Till: saml-admins@lists.sunet.se<mailto:saml-admins@lists.sunet.se> Ämne: [Saml-admins] Re: MFA SAMLProxy Hej Roger Har tyvärr ingen erfarenhet med ADFS men undrar om lösningen inte finns i https://shibboleth.atlassian.net/wiki/spaces/KB/pages/1467056889/Using+SAML… för att översätta en ADFS multipleauthn claim till Refeds MFA? /Paul. On 2023-02-10 17:25, Mårtensson, Roger wrote: Hej! Såg att det dök upp lite frågor om MFA så jag slänger ut min fråga i hopp om att någon har lite tips. Vår IDP är konfad att använda vår ADFS via SAML Proxy. Fungerar finfint och plockar bort en del jobba onödiga inloggningar. Uppskattas av både personal och studenter. Jag har försökt att sätta upp MFA-flödet för detta men får det inte riktigt att fungera mot vår M365 MFA-integrerade ADFS. Finns bra dokumentation om detta för Azure man kan inspireras av på Shibboleth wikin. Problemet ligger i att det SAML-svar vi får som säger att nu har du loggat in med MFA kommer i ett eget attribut. Dvs ”på fel sätt”. Enligt shibboleth-listan så ska det vara möjligt att skriva om svaret så att shibboleth stoppar in värdet på rätt ställe i SAML-svaret så att REFEDS-konfigurationen kan mappa om ADFS-svaret på ett korrekt sätt. Så, är det någon som har några tips på vad man kan titta på för att komma vidare? Förvirrad, Roger Mårtensson System specialist / Systemspecialist MID SWEDEN UNIVERSITY Avdelningen för infrastruktur / Division of infrastructur E-mail: roger.martensson@miun.se<mailto:roger.martensson@miun.se> Information about the processing of personal data at Mid Sweden University: www.miun.se/en/personaldata<https://eur01.safelinks.protection.outlook.c… _______________________________________________ Saml-admins mailing list -- saml-admins@lists.sunet.se<mailto:saml-admins@lists.sunet.se> To unsubscribe send an email to saml-admins-leave@lists.sunet.se<mailto:saml-admins-leave@lists.sunet.se> -- Paul Scott <paul.scott@kau.se><mailto:paul.scott@kau.se> Systemutvecklare, IT-avdelningen, Karlstads universitet Tel: +46 (0)54-700 23 07 När du skickar e-post till Karlstads universitet behandlar vi dina personuppgifter<https://eur01.safelinks.protection.outlook.com/?url=http…amp;reserved=0>. When you send an e-mail to Karlstad University, we will process your personal data<https://eur01.safelinks.protection.outlook.com/?url=https%3A%2F%2Fw…amp;reserved=0>.