<div dir="ltr"><div>Take a look at this thread - <a href="http://marc.info/?l=shibboleth-users&m=144174395227466&w=2">http://marc.info/?l=shibboleth-users&m=144174395227466&w=2</a></div><div><br></div>We had similar situations in IdP v2 - where vendors / partners wanted us to send our users' login IDs to them as transient and / or persistent nameIDs.<div><br></div><div>When we upgraded to IdP v3, we stopped allowing that, and have been working with the various SPs to use "unspecified" nameIDs instead.</div><div><br></div><div>Liam</div><div><br></div></div><div class="gmail_extra"><br><div class="gmail_quote">On Wed, Jan 27, 2016 at 2:00 PM,  <span dir="ltr"><<a href="mailto:brabec@ncsu.edu" target="_blank">brabec@ncsu.edu</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">We have a 3rd Party SP doing some kind of SAML2. They expect us to<br>
return the SAML NameID as urn:oasis:names:tc:SAML:2.0:nameid-<br>
format:transient with the value = our numeric campus id. This has been<br>
setup and working for us in V2 for a while now.<br>
<br>
In V3 saml-nameid.xml, I can do this:<br>
<br>
  <bean parent="shibboleth.SAML2AttributeSourcedGenerator"<br>
      p:format="urn:oasis:names:tc:SAML:2.0:nameid-format:transient"<br>
      p:attributeSourceIds="#{ {'CampusId'} }"><br>
    <property name="activationCondition"><br>
      <bean parent="shibboleth.Conditions.RelyingPartyId"<br>
        c:candidates="#{{<br>
          'SPentityID'<br>
        }}" /><br>
    </property><br>
  </bean><br>
<br>
When I do, I see what looks like the automatic transient<br>
handler kicks in and writes something like this:<br>
<br>
<saml2:NameID Format="urn:oasis:names:tc:SAML:2.0:nameid-format:transient">MIMEDATAHERE=</saml2:NameID><br>
<br>
The SP accepts this, but sends me off to an account not found page.<br>
<br>
I can also change the same block to<br>
    p:format="urn:oasis:names:tc:SAML:2.0:nameid-format:persistent"<br>
<br>
And the custom handler works as expected, returning:<br>
<br>
<saml2:NameID Format="urn:oasis:names:tc:SAML:2.0:nameid-format:persistent">012345678</saml2:NameID><br>
<br>
But the SP refuses the message, because it is coded to look for<br>
Format="...:transient".<br>
<br>
Is there a bean / attribute I can add to the above to tell the generator<br>
to treat this is a persistent, but label it transient without using the<br>
transient generator in its place?<br>
<br>
Charles<br>
<span class="HOEnZb"><font color="#888888"><br>
--<br>
All electronic mail messages in connection with State business which are<br>
sent to or received by this account are subject to the NC Public Records Law<br>
and may be disclosed to third parties.<br>
--<br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.net</a><br>
</font></span></blockquote></div><br></div>