<div dir="ltr"><div>Thank Tom,</div><div><br></div><div>The IdP metadata does not include <shibmd:Scope>.  In fact, on closer inspection, their metadata looks very different what I've seen before.  Below is the first part of their metadata.  Can you tell me what I need to request instead of what they have provided.  Appreciate your help!</div><div><br></div><div><md:EntityDescriptor ID="xxxxxxx" cacheDuration="PT120M" entityID="<a href="https://institution.edu">https://institution.edu</a>" xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata"><ds:Signature xmlns:ds="<a href="http://www.w3.org/2000/09/xmldsig#">http://www.w3.org/2000/09/xmldsig#</a>"><br><ds:SignedInfo><br><ds:CanonicalizationMethod Algorithm="<a href="http://www.w3.org/2001/10/xml-exc-c14n#">http://www.w3.org/2001/10/xml-exc-c14n#</a>"/><br><ds:SignatureMethod Algorithm="<a href="http://www.w3.org/2001/04/xmldsig-more#rsa-sha256">http://www.w3.org/2001/04/xmldsig-more#rsa-sha256</a>"/><br><ds:Reference URI="#xxxxxxx"><br><ds:Transforms><br><ds:Transform Algorithm="<a href="http://www.w3.org/2000/09/xmldsig#enveloped-signature">http://www.w3.org/2000/09/xmldsig#enveloped-signature</a>"/><br><ds:Transform Algorithm="<a href="http://www.w3.org/2001/10/xml-exc-c14n#">http://www.w3.org/2001/10/xml-exc-c14n#</a>"/><br></ds:Transforms><br><ds:DigestMethod Algorithm="<a href="http://www.w3.org/2001/04/xmlenc#sha256">http://www.w3.org/2001/04/xmlenc#sha256</a>"/><br><ds:DigestValue>hrIX5EfyqcahZ7Hqg5sprRR22BVrSlUI6O+CZ1AtjC8=</ds:DigestValue><br></ds:Reference><br></ds:SignedInfo><br><ds:SignatureValue></div><div><br></div><div><br></div></div><div class="gmail_extra"><br><div class="gmail_quote">On Fri, Jul 21, 2017 at 1:33 PM, Tom Scavo <span dir="ltr"><<a href="mailto:trscavo@gmail.com" target="_blank">trscavo@gmail.com</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><span>On Fri, Jul 21, 2017 at 3:55 PM, Cathy Scott <<a href="mailto:cathystill@gmail.com">cathystill@gmail.com</a>> wrote:<br>
><br>
> Running the current version of Shibboleth SP with Apache HTTPD for a Java<br>
> app on Windows. Client IdP is PingFederate.  Attribute released is eppn.<br>
> Shibboleth creates the attribute mapping. But then removes the value.  Users<br>
> can successfully authenticate but no attribute is passed.<br>
<br>
</span>Either the IdP doesn't release the attribute or the SP doesn't accept it.<br>
<span><br>
> INFO Shibboleth.AttributeExtractor.<wbr>XML : loaded XML resource<br>
> (C:/opt/shibboleth-sp/etc/<wbr>shibboleth/attribute-map.xml)<br>
> INFO Shibboleth.AttributeExtractor.<wbr>XML : creating mapping for Attribute<br>
> urn:oid:1.3.6.1.4.1.5923.1.1.<wbr>1.6<br>
> WARN Shibboleth.AttributeFilter [1]: removed value at position (0) of<br>
> attribute (eppn) from (<a href="https://institution.edu" target="_blank" rel="noreferrer">https://institution.edu</a>)<br>
> WARN Shibboleth.AttributeFilter [1]: no values left, removing attribute<br>
> (eppn) from (<a href="https://institution.edu" target="_blank" rel="noreferrer">https://institution.edu</a>)<br>
<br>
</span>ePPN is a scoped attribute. By default, the Shibboleth SP filters<br>
ePPNs with scopes it doesn't recognize.<br>
<br>
Check the IdP metadata. Does it contain a <shibmd:Scope> extension<br>
element with the required scope? If not, that's the problem.<br>
<br>
You can configure the SP to relax its scope checking behavior but<br>
that's dangerous. Instead focus on the metadata.<br>
<span class="HOEnZb"><font color="#888888"><br>
Tom<br>
--<br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.<wbr>net</a><br>
</font></span></blockquote></div><br></div>