<div dir="ltr">Closing the loop:<div><br></div><div>Turns out vendor (LeanKit) does care that the Subject is sent with nameid-format:unspecified; other formats rejected as invalid login.</div><div><br></div><div>I thought I could just an <span style="font-size:12.8px">SAML2StringNameID</span> encoder to ePPN, but for reason opaque to me that resulted in the correct identifier but unscoped NameID in the Subject.  So I had to repurpose a different string attribute (the value of which is orthographically identical to ePPN), adding the <span style="font-size:12.8px">SAML2StringNameID</span> encoder.</div><div><br></div><div>On the plus side, they are at least using SP-initiated SSO. </div><div><br></div><div>David Bantz</div><div>U Alaska</div><div><div class="gmail_extra"><br><div class="gmail_quote">On Wed, Feb 3, 2016 at 4:07 PM, Cantor, Scott <span dir="ltr"><<a href="mailto:cantor.2@osu.edu" target="_blank">cantor.2@osu.edu</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex"><span class="">On 2/3/16, 7:15 PM, "users on behalf of IAM David Bantz" <<a href="mailto:users-bounces@shibboleth.net">users-bounces@shibboleth.net</a> on behalf of <a href="mailto:dabantz@alaska.edu">dabantz@alaska.edu</a>> wrote:<br>
<br>
<br>
<br>
>I read that as requiring the SAML Subject is the principal's email address [or ExternalUserName, adds a later qualification], encoded as a NameId, but with nameid-format:unspecified. Can that be right?<br>
<br>
</span>I doubt they care, so the first thing to do is to assume they mean "give us a NameID matching what you want to provision users against", do that, use a suitable Format, and see if it works. Never use "unspecified" unless you have to.<br>
<br>
If it's also requiring IdP-initiated SSO, one of the things I'm coming to discover through recent experience is that there's a pretty high likelihood that their implementation will be missing security checks. That's common when they strip things down to that little.<br>
<br>
How much you care about that, and what you're willing to do about it, is obviously a local issue, but I'm pretty much down to assuming all SAML code I don't know the source of is broken. That seems to be true more often than not.<br>
<br>
The big flag is, do they have an entityID that they know is theirs? If not (i.e., they just hand you the ACS URL), they can't be checking Audience. If they're not checking Audience, they may not be checking Recipient, Destination, or replay. And so on.<br>
<span class=""><font color="#888888"><br>
-- Scott<br>
<br>
--<br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.net</a><br>
</font></span></blockquote></div><br></div></div></div>