<div dir="ltr"><div>short version</div><div>------------------</div><div>I'm reviewing our configuration in preparation for migrating to IdP3, and I've got a couple of WSO2 based SPs that are asking us to provide the user information via nameid in the "urn:oasis:names:tc:SAML:2.0:nameid-format:entity" format.</div><div><br></div><div>Looking at the spec, it seems like "entity" isn't really for user principals.<br></div><div><br></div><div>Is this another poorly behaved SP?  or is this a valid use?<br></div><div><br></div><div>Liam</div><div><br></div><div>------------------------------------------------------------------------------------</div><div>additional information</div><div>------------------------------------------------------------------------------------</div><div>If we try to send a more standard nameid format, we see...<br></div><div><div>2015-09-09 10:39:57,903 - DEBUG [org.opensaml.saml.common.profile.logic.AbstractNameIDPolicyPredicate:218] - Policy checking disabled for NameIDPolicy with Format urn:oasis:names:tc:SAML:2.0:nameid-format:entity</div><div>2015-09-09 10:39:57,904 - DEBUG [org.opensaml.saml.saml2.profile.impl.AddNameIDToSubjects:316] - Profile Action AddNameIDToSubjects: Request specified NameID format: urn:oasis:names:tc:SAML:2.0:nameid-format:entity</div><div>2015-09-09 10:39:57,904 - DEBUG [org.opensaml.saml.saml2.profile.impl.AddNameIDToSubjects:396] - Profile Action AddNameIDToSubjects: Trying to generate NameID with Format urn:oasis:names:tc:SAML:2.0:nameid-format:entity</div><div>2015-09-09 10:39:57,905 - DEBUG [org.opensaml.saml.common.profile.impl.ChainingNameIdentifierGenerator:106] - Trying to generate identifier with Format urn:oasis:names:tc:SAML:2.0:nameid-format:entity</div><div>2015-09-09 10:39:57,906 - WARN [org.opensaml.saml.saml2.profile.impl.AddNameIDToSubjects:337] - Profile Action AddNameIDToSubjects: Request specified use of an unsupportable identifier format: urn:oasis:names:tc:SAML:2.0:nameid-format:entity</div><div>2015-09-09 10:39:57,910 - DEBUG [org.opensaml.saml.common.profile.logic.DefaultLocalErrorPredicate:184] - Error event InvalidNameIDPolicy will be handled with response</div></div><div><br></div><div>But looking at the spec, it doesn't seem like "urn:oasis:names:tc:SAML:2.0:nameid-format:entity" is really for /user/ principals?</div><div><br></div><blockquote style="margin:0px 0px 0px 40px;border:none;padding:0px"><div><a href="http://docs.oasis-open.org/security/saml/v2.0/saml-core-2.0-os.pdf">http://docs.oasis-open.org/security/saml/v2.0/saml-core-2.0-os.pdf</a></div><div><div>8.3.6 Entity Identifier</div></div><div><div>URI: urn:oasis:names:tc:SAML:2.0:nameid-format:entity</div></div><div><div>Indicates that the content of the element is the identifier of an entity that provides SAML-based services (such as a SAML authority, requester, or responder) or is a participant in SAML profiles (such as a service provider supporting the browser SSO profile). Such an identifier can be used in the <Issuer> element to identify the issuer of a SAML request, response, or assertion, or within the <NameID> element to make assertions about system entities that can issue SAML requests, responses, and assertions. It can also be used in other elements and attributes whose purpose is to identify a system entity in various protocol exchanges.</div></div><div><div><br></div></div><div><div>The syntax of such an identifier is a URI of not more than 1024 characters in length. It is</div></div><div><div>RECOMMENDED that a system entity use a URL containing its own domain name to identify itself.</div></div><div><div><br></div></div><div><div>The NameQualifier, SPNameQualifier, and SPProvidedID attributes MUST be omitted</div></div></blockquote><br><div><br></div></div>