<div dir="ltr"><div class="gmail_extra"><span style="font-size:12.8px">> or you can do it in the resolver in more ways than I'm sure I could even come up with</span><br></div><div class="gmail_extra"><span style="font-size:12.8px"><br></span></div><div class="gmail_extra"><span style="font-size:12.8px">I don't know, you can come up with a lot.</span></div><div class="gmail_extra"><span style="font-size:12.8px"><br></span></div><div class="gmail_extra"><span style="font-size:12.8px">I looked at c14 but ended up doing it the "dumb" way, by searching AD for mail instead of samaccountname, because really, why not?</span></div><div class="gmail_extra"><span style="font-size:12.8px"><br></span></div><div class="gmail_extra"><span style="font-size:12.8px">Context:</span></div><div class="gmail_extra"><span style="font-size:12.8px"><br></span></div><div class="gmail_extra"><span style="font-size:12.8px">This was for another .edu that wanted a simple gateway from Google to InCommon. They wanted to leverage Google's free 2-Step Verification and thought it was simpler for users to see only the familiar Google sign-in form instead of a locally branded sign-on page.</span></div><div class="gmail_extra"><span style="font-size:12.8px"><br></span></div><div class="gmail_extra"><span style="font-size:12.8px">They could have protected /idp/Authn/RemoteUser with a shibboleth SP and Google's SAML IDP, but they thought it would be simpler to use OpenID Connect.</span></div><div class="gmail_extra"><br></div><div class="gmail_extra"><span style="font-size:12.8px">So, what we ended up is Google -> Apache+mod_auth_openidc -> Jetty -> Shibb RemoteUser.</span></div></div>