<div dir="ltr">On Wed, Apr 13, 2016 at 6:33 AM, Cantor, Scott <span dir="ltr"><<a href="mailto:cantor.2@osu.edu" target="_blank">cantor.2@osu.edu</a>></span> wrote:<br><div class="gmail_extra"><div class="gmail_quote"><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex"><span class="">On 4/13/16, 6:22 AM, "users on behalf of Dave Perry" <<a href="mailto:users-bounces@shibboleth.net">users-bounces@shibboleth.net</a> on behalf of <a href="mailto:Dave.Perry@hull-college.ac.uk">Dave.Perry@hull-college.ac.uk</a>> wrote:<br>
<br>
<br>
<br>
>I have a request from google in my log which asks for NameID as unspecified:<br>
<br>
</span>The IdP ignores that, as we documented, at length. It doesn't matter that it asks for that, and I believe it's been proven by at least one person that Googles *doesn't* require any given Format at all, so using "unspecified" would be a mistake.<br></blockquote><div><br></div><div>That's been our experience.  In fact, not one of the services that previously used unspecified actually required it; after you had mentioned in passing testing it, I ran through and removed all of our unspecifieds during our v3 upgrade.  Nor did a recent vendor that came to us saying they required it actually require it when challenged.  (They didn't need a tailored NameID at all, it turned out, and lived just fine off of an attribute.)</div><div><br></div><div>We use:</div><div><div><NameIDFormat><a href="https://identity.lbl.gov/nameid/googleAccountName">https://identity.lbl.gov/nameid/googleAccountName</a></NameIDFormat></div></div><div><br></div><div>and this:</div><div><div>        <bean parent="shibboleth.SAML2AttributeSourcedGenerator"</div><div>            p:format="<a href="https://identity.lbl.gov/nameid/googleAccountName">https://identity.lbl.gov/nameid/googleAccountName</a>"</div><div>            p:attributeSourceIds="#{ {'googlePrincipal'} }" /></div></div><div><br></div><div>(Due to our secondary domains, and the fact that the email addresses clash with the official, "advertised" email address, we store the Google account in a separate attribute.)</div><div><br></div><div> </div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex">
<span class=""><br>
>And google’s own metadata download (taken from the GA admin control panel) which has a weird entityID of<br>
><a href="https://accounts.google.com/o/saml2?idpid=C04au2c47" rel="noreferrer" target="_blank">https://accounts.google.com/o/saml2?idpid=C04au2c47</a><br>
<br>
</span>I don't believe that's the relevant metadata. Pretty sure the entityID is <a href="http://google.com" rel="noreferrer" target="_blank">google.com</a> (also invalid, but whatever, it is what it is).<br></blockquote><div><br></div><div>That's for Google's SAML IdP service.</div><div> </div><div>Greg</div></div></div></div>