<div dir="ltr"><div>Thank you Scott,</div><div><br></div><div>Yes, changing the decoder back to <font color="#500050">ScopedAttributeDecoder</font> resolved the issue.  This is a dedicated environment and will never have any other IdP authenticating in the environment.  I do want to employ best practice.  May I ask what the risk is and why you would not make these changes?  Is there a better way to integrate with ADFS IdP?</div><div><br></div><div>Thanks again,</div><div>Cathy</div></div><div class="gmail_extra"><br><div class="gmail_quote">On Fri, Sep 25, 2015 at 9:32 AM, Cantor, Scott <span dir="ltr"><<a href="mailto:cantor.2@osu.edu" target="_blank">cantor.2@osu.edu</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><span>On 9/25/15, 12:13 PM, "users on behalf of Cathy Scott" <<a href="mailto:users-bounces@shibboleth.net">users-bounces@shibboleth.net</a> on behalf of <a href="mailto:cathystill@gmail.com">cathystill@gmail.com</a>> wrote:<br>
<br>
>I've configured unscoped eppn.<br>
<br>
</span>There is no such thing. EPPN is defined by eduPerson. It is scoped.<br>
<br>
In a SAML 2 assertion, that just means there are two first-order components in the string value and they both have meaning. If you don't want to apply that meaning (i.e. you don't want scope filtering), the fix is not to change the decoder, it's to alter the filter policy at the SP to skip the scope check.<br>
<span><br>
>* These are the attribute-map entries for unscoped eppn using StringAttributeDecoder instead of ScopedAttributeDecoder:<br>
<br>
</span>Which you should not do.<br>
<span><br>
>     <Attribute name="<a href="http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn" target="_blank" rel="noreferrer">http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn</a>" id="eppn" ><br>
<br>
</span>Well, I wouldn't do that either, but that's up to you.<br>
<span><br>
>* I updated the attribute-policy to permit any eppn value:<br>
>     <afp:AttributeRule attributeID="eppn"><br>
> <afp:PermitValueRule xsi:type="ANY"/><br>
>     </afp:AttributeRule><br>
<br>
</span>That's the only change you should have to make. There's no reason to change the decoder.<br>
<span><br>
><br>
>* Transaction log show eppn value is getting successfully mapped.  It seems odd though that it shows up twice.<br>
<br>
</span>Because you mapped multiple attributes into that name/ID, and the IdP is obviously sending more than one input attribute<br>
<span class="HOEnZb"><font color="#888888"><br>
-- Scott<br>
<br>
<br>
<br>
--<br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.net</a><br>
</font></span></blockquote></div><br></div>