<div dir="ltr">OR in the IdP attribute-filter rule means release each ePA value if the value matches &quot;staff&quot; OR the value matches &quot;member&quot;; that seems to mirror your intent to release both values.  <div><br></div><div>No value of ePA will match both &quot;staff&quot; AND match &quot;member&quot; so that guarantees no value released.<div><br></div><div><br><div><br></div><div><br></div></div></div></div><div class="gmail_extra"><br><div class="gmail_quote">On Thu, Feb 12, 2015 at 1:57 PM, John Horne <span dir="ltr">&lt;<a href="mailto:john.horne@plymouth.ac.uk" target="_blank">john.horne@plymouth.ac.uk</a>&gt;</span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">Hello,<br>
<br>
For a particular SP (which we run; version 2.5.3) I am trying to ensure<br>
that the eduPersonAffiliation attribute contains both &#39;member&#39; and<br>
&#39;staff&#39;. It can contain other things, but must have these two values.<br>
<br>
In the IdP (version 2.4.1) attribute filter I configured:<br>
<br>
===================<br>
&lt;afp:AttributeRule attributeID=&quot;eduPersonAffiliation&quot;&gt;<br>
  &lt;afp:PermitValueRule xsi:type=&quot;basic:AND&quot;&gt;<br>
     &lt;basic:Rule xsi:type=&quot;basic:AttributeValueString&quot; value=&quot;staff&quot;/&gt;<br>
     &lt;basic:Rule xsi:type=&quot;basic:AttributeValueString&quot; value=&quot;member&quot;/&gt;<br>
  &lt;/afp:PermitValueRule&gt;<br>
&lt;/afp:AttributeRule&gt;<br>
===================<br>
<br>
In the SP attribute policy I configured:<br>
<br>
===================<br>
&lt;afp:AttributeRule attributeID=&quot;eduPersonAffiliation&quot;&gt;<br>
  &lt;afp:PermitValueRule xsi:type=&quot;basic:AttributeValueRegex&quot;<br>
regex=&quot;.+&quot; /&gt;<br>
&lt;/afp:AttributeRule&gt;<br>
===================<br>
<br>
However, the IdP produces no final attribute, and (obviously) the SP<br>
sees nothing. Both the IdP and SP logs indicate this.<br>
<br>
If I put the AND into the SP, and configure the IdP to release ANY value<br>
for eduPersonAffiliation, then the IdP indicates the attribute has 2<br>
values and releases them. The SP sees two values (the log shows that<br>
they are &#39;staff&#39; and &#39;member&#39;), but removes them and so ends up with no<br>
attribute again.<br>
<br>
If I change the AND to an OR (on the IdP or the SP), then it works fine.<br>
<br>
I am somewhat lost with this. For some reason it seems that both the IdP<br>
and the SP do not like the AND rule. Anyone any thoughts about this?<br>
<br>
<br>
<br>
Thanks,<br>
<br>
John.<br>
<span class="HOEnZb"><font color="#888888"><br>
--<br>
----------------------------------------------------<br>
John Horne                   Tel: <a href="tel:%2B44%20%280%291752%20587287" value="+441752587287">+44 (0)1752 587287</a><br>
Plymouth University, UK<br>
<br>
--<br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.net</a><br>
</font></span></blockquote></div><br></div>