<div dir="ltr"><div class="gmail_extra"><div class="gmail_quote">On 11 June 2015 at 23:04, Cantor, Scott <span dir="ltr"><<a href="mailto:cantor.2@osu.edu" target="_blank">cantor.2@osu.edu</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><span class="">On 6/11/15, 9:30 PM, "users on behalf of Alain O'Dea" <<a href="mailto:users-bounces@shibboleth.net">users-bounces@shibboleth.net</a> on behalf of <a href="mailto:alain.odea@gmail.com">alain.odea@gmail.com</a>> wrote:<br>
><br>
>I changed the SP to request urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress as mentioned in the SAML 2.0 spec line 3285 and I get the following:<br>
><br>
> WARN [org.opensaml.saml.saml2.profile.impl.AddNameIDToSubjects:337] - Profile Action AddNameIDToSubjects: Request specified use of an unsupportable identifier format: urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress<br>
<br>
</span>Because your resolver isn't encoding anything to that format.<br>
<br>
When the SP indicates it wants a format (other than unspecified) and the IdP doesn't know how to produce it, that's the error you get.<br>
<br>
If this is V3, you don't use the resolver to generate a NameID, you use saml-nameid.xml to do that [1]. The underlying data can and usually does come from the resolver, but the NameID part is handled explicitly and separately.<br></blockquote><div><br></div><div>Yes I am using IDP3.  I'm going to stick to the default transient identifiers and having my SP use attributes and not the NameID as you recommended.  I can't see a good reason to rewire the NameID generation now since I control the SP and the other other IdPs I've looked at allow sufficient attribute configuration to make this solution portable.</div><div><br></div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
<br>
-- Scott<br>
<br>
[1] <a href="https://wiki.shibboleth.net/confluence/display/IDP30/NameIDGenerationConfiguration" rel="noreferrer" target="_blank">https://wiki.shibboleth.net/confluence/display/IDP30/NameIDGenerationConfiguration</a></blockquote></div></div></div>