<div dir="ltr"><span style="font-size:12.8px">Hi All,</span><div style="font-size:12.8px"><br></div><div style="font-size:12.8px">I’m fairly new to Shibboleth and SAML, so my apologies for the naive question.</div><div style="font-size:12.8px"><br></div><div style="font-size:12.8px">I’m running Shibboleth IDP 2.4.3 on CentOS 5, Tomcat 5, Java 1.6.  I've setup access for several SPs using many of the defaults, using the principal for logging in, which is our "username" (uid). I have a new SP I'm trying to configure which requires an email address instead of simply a username. The SP metadata file specifies:</div><div style="font-size:12.8px"><br></div><div><font face="monospace, monospace"><span style="font-size:12.8px"><md:NameIDFormat>urn:oasis:names:tc:SAML:2.0:nameid-format:transient</md:NameIDFormat></span><br></font></div><div><span style="font-size:12.8px"><br></span></div><div><span style="font-size:12.8px">and </span></div><div><span style="font-size:12.8px"><br></span></div><div><font face="monospace, monospace"><span style="font-size:12.8px"><md:RequestedAttribute FriendlyName="email" isRequired="true" Name="User Id" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri"/></span><br></font></div><div><span style="font-size:12.8px"><br></span></div><div><span style="font-size:12.8px">Not surprisingly when I attempt to access the SP with only a username, it fails to login, and generates this message in the logs:</span></div><div><span style="font-size:12.8px"><br></span></div><div><font face="monospace, monospace"><span style="font-size:12.8px">No attribute of principal 'dcarter' can be encoded in to a NameIdentifier of required format 'urn:oasis:names:tc:SAML:2.0:nameid-format:transient' for relying party '<a href="http://foo.domain.com">foo.domain.com</a>'</span><br></font></div><div style="font-size:12.8px"><br></div><div style="font-size:12.8px">I've looked through the docs and Googled this a lot, and have seen others with a similar problem, but it's not clear to me what part of the config needs to be changed. I could pull the email address from LDAP, but since our usernames are unique, I don't know why just hard-coding our domain to the username wouldn't work. This seems like a pretty common config that must come up, but so far I haven't found any good config examples that shows how it's done.</div><div style="font-size:12.8px"><br></div><div style="font-size:12.8px">Any tips, pointers or other advice would be greatly appreciated. </div><div style="font-size:12.8px"><br></div><div style="font-size:12.8px">TIA,</div><div style="font-size:12.8px"><br></div><div style="font-size:12.8px">Doug</div></div>