<div dir="ltr"><div>Hello,</div><div><br></div><div>I'm hoping that someone can tell me what I've done wrong here.  Running Shibboleth SP 2.5.5.1.  IdP is ADFS 2.0.  They have set us up as Relying Party and added custom claim rules for UPN. Though transaction logs show that eppn value is getting successfully mapped, when I log in the application has missing icons and broken functionality. Additionally, ability to get he Sign On screen is intermittent.  I've configured unscoped eppn. Here are some additional details:</div><p>* This is the custom claim rule added in ADFS:<br>c:[Type == "<a href="http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn">http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn</a>"]<br>=> issue(Type = "urn:oid:1.3.6.1.4.1.5923.1.1.1.6", Value = c.Value, Properties["<a href="http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/attributename">http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/attributename</a>"] = "urn:oasis:names:tc:SAML:2.0:attrname-format:uri");<br> <br>* These are the attribute-map entries for unscoped eppn using StringAttributeDecoder instead of ScopedAttributeDecoder:</p><p>     <Attribute name="<a href="http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn">http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn</a>" id="eppn" > <br>    <AttributeDecoder xsi:type="StringAttributeDecoder" caseSensitive="false" /> <br>    </Attribute> <br>    <br>    <Attribute name="<a href="http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname">http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname</a>" id="eppn" > <br>    <AttributeDecoder xsi:type="StringAttributeDecoder" caseSensitive="false"/> <br>    </Attribute> <br>    <br>    <Attribute name="urn:mace:dir:attribute-def:eduPersonPrincipalName" id="eppn"><br>        <AttributeDecoder xsi:type="StringAttributeDecoder"/><br>    </Attribute><br>    <Attribute name="urn:oid:1.3.6.1.4.1.5923.1.1.1.6" id="eppn"><br>        <AttributeDecoder xsi:type="StringAttributeDecoder"/><br>    </Attribute></p><p>* I updated the attribute-policy to permit any eppn value:</p><p>     <afp:AttributeRule attributeID="eppn"> <br> <afp:PermitValueRule xsi:type="ANY"/> <br>     </afp:AttributeRule> </p><p>* Transaction log show eppn value is getting successfully mapped.  It seems odd though that it shows up twice.</p><p>2015-09-24 16:15:00 INFO Shibboleth-TRANSACTION [3]: New session (ID: _5a988eb35da0f02c51ef4a367eda9c00) with (applicationId: default) for principal from (IdP: <a href="http://fs.clientsite.org/adfs/services/trust">http://fs.clientsite.org/adfs/services/trust</a>) at (ClientAddress: 72.xx.xxx.xxx) with (NameIdentifier: none) using (Protocol: urn:oasis:names:tc:SAML:2.0:protocol) from (AssertionID: _b9f3d057-4682-430d-983e-09b8afc40ff8)<br>2015-09-24 16:15:00 INFO Shibboleth-TRANSACTION [3]: Cached the following attributes with session (ID: _5a988eb35da0f02c51ef4a367eda9c00) for (applicationId: default) {<br>2015-09-24 16:15:00 INFO Shibboleth-TRANSACTION [3]:  eppn (1 values)<br>2015-09-24 16:15:00 INFO Shibboleth-TRANSACTION [3]:  eppn (1 values)<br>2015-09-24 16:15:00 INFO Shibboleth-TRANSACTION [3]: }</p><p>* Shibd log is skipping the attribute because it is unscoped. I think that's normal.  Though two WARN entries, log says the new session was created.</p><p>2015-09-24 16:15:00 INFO Shibboleth.AttributeExtractor.XML [3]: skipping unmapped SAML 2.0 Attribute with Name: <a href="http://schemas.xmlsoap.org/claims/Group">http://schemas.xmlsoap.org/claims/Group</a>, Format:urn:oasis:names:tc:SAML:2.0:attrname-format:unspecified<br>2015-09-24 16:15:00 WARN Shibboleth.AttributeFilter [3]: removed value at position (0) of attribute (affiliation) from (<a href="http://fs.clientsite.org/adfs/services/trust">http://fs.clientsite.org/adfs/services/trust</a>)<br>2015-09-24 16:15:00 WARN Shibboleth.AttributeFilter [3]: no values left, removing attribute (affiliation) from (<a href="http://fs.clientsite.org/adfs/services/trust">http://fs.clientsite.org/adfs/services/trust</a>)<br>2015-09-24 16:15:00 INFO Shibboleth.SessionCache [3]: new session created: ID (_5a988eb35da0f02c51ef4a367eda9c00) IdP (<a href="http://fs.clientsite.org/adfs/services/trust">http://fs.clientsite.org/adfs/services/trust</a>) Protocol(urn:oasis:names:tc:SAML:2.0:protocol) Address (72.xx.xxx.xxx)<br></p></div>