<div dir="ltr"><div>Not sure why no one has picked this up but I think the issue </div><div>is that the SAML Request for the active client is using the </div><div>transient NameID format. A transient name ID is usually only</div>
<div>valid for the life of the session. Hence the _99... NameID below.</div><div><br></div><div>&lt;saml2:NameID Format=&quot;urn:oasis:names:tc:SAML:2.0:nameid-format:transient&quot; </div><div>NameQualifier=&quot;<a href="https://shibbidp.eduteamit.net/idp/shibboleth">https://shibbidp.eduteamit.net/idp/shibboleth</a>&quot;&gt;</div>
<div>_9955833da857f2fa2b7915bd24982e1</div><div>8&lt;/saml2:NameID&gt;</div><div><br></div><div><br></div><div>You could try adding this to your attribute-resolver.xml to force the </div><div>static GUID into the NameID for the transient format.</div>
<div><br></div><div> &lt;resolver:AttributeEncoder xsi:type=&quot;SAML2StringNameID&quot; </div><div>xmlns=&quot;urn:mace:shibboleth:2.0:attribute:encoder&quot; </div><div>nameFormat=&quot;urn:oasis:names:tc:SAML:2.0:nameid-</div>
<div>format:transient&quot; /&gt;</div><div><br></div><div><br></div></div>