<div dir="ltr">Thanks Scott!<div><br></div><div>Very helpful -- and much appreciated -- you helped me find error on my side.</div><div><br></div><div>1) The <font face="Monaco"><span style="font-size:11px">idp.persistentId.dataSource in the saml-nameid.properties -- had a naming mismatch with value in global.xml.</span></font></div><div><font face="Monaco"><span style="font-size:11px"><br></span></font></div><div><font face="Monaco"><span style="font-size:11px">I am not sure how the PersistentID was recorded in the database with above mismatch -- my guess is that the data source in global.xml still kicked in.</span></font></div><div><font face="Monaco"><span style="font-size:11px"><br></span></font></div><div><font face="Monaco"><span style="font-size:11px">2) I am also bitting the bullet and converting the existing SPs to using the <font color="#3933ff">'</font></span></font><span style="color:rgb(57,51,255);font-family:Monaco;font-size:11px">StoredPersistentIdGenerator</span><span style="color:rgb(57,51,255);font-size:11px;font-family:Monaco">' </span><span style="font-size:11px;font-family:Monaco"><font color="#000000">from the computed. </font></span></div><div><span style="font-size:11px;font-family:Monaco"><font color="#000000"><br></font></span></div><div><font color="#000000"><font face="Monaco"><span style="font-size:11px">I am not sure if 1 or 2, or both, were the root cause -- am too exhausted to whittle away at this now -- but together problem solved.</span></font></font></div><div><font color="#000000"><font face="Monaco"><span style="font-size:11px"><br></span></font></font></div><div><font color="#000000"><font face="Monaco"><span style="font-size:11px">I cannot overstate how much your emails helped -- thank you.</span></font></font></div><div><font face="Monaco"><span style="font-size:11px"><br></span></font></div><div><font face="Monaco"><span style="font-size:11px">The salt in actual use is different -- wrote down value of my daughter's favorite rhyme.</span></font></div><div><br></div></div><div class="gmail_extra"><br><div class="gmail_quote">On Mon, Jul 24, 2017 at 1:47 PM, Cantor, Scott <span dir="ltr"><<a href="mailto:cantor.2@osu.edu" target="_blank">cantor.2@osu.edu</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><span class="">On 7/21/17, 11:05 AM, "users on behalf of Cantor, Scott" <<a href="mailto:users-bounces@shibboleth.net">users-bounces@shibboleth.net</a> on behalf of <a href="mailto:cantor.2@osu.edu">cantor.2@osu.edu</a>> wrote:<br>
<br>
> Ok, first conclusion: your original question:<br>
<br>
</span>And my secondary points after having some time to review the code and the configurations posted:<br>
<br>
You cannot be getting NameIDs in the Subject element with a configuration whose NameID Generation service layer is failing and reporting errors of the type posted.<br>
<br>
That is also consistent with the fact that the configuration posted with legacy connectors inside the Attribute Resolver is not even trying to do that. It's generating the deprecated eduPersonTargetedID SAML Attribute [1].<br>
<br>
That is not the same thing as a SAML persistent NameID syntactically and doesn't depend on the NameID generation layer in the IdP, which is why it's "working". It's just not generating any NameIDs, and never was to begin with.<br>
<br>
I can't tell you what your services are depending on. When you have undocumented systems handed off, that loss of knowledge is obviously a serious problem. If you knew which services were relying on the Attribute, then it would be possible to reconfigure a test system to avoid all the deprecated pieces and see if things still work if it's passed in the Subject.<br>
<br>
-- Scott<br>
<br>
[1] <a href="https://wiki.shibboleth.net/confluence/display/SHIB2/NativeSPTargetedID" rel="noreferrer" target="_blank">https://wiki.shibboleth.net/<wbr>confluence/display/SHIB2/<wbr>NativeSPTargetedID</a><br>
<div class="HOEnZb"><div class="h5"><br>
<br>
--<br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.<wbr>net</a><br>
</div></div></blockquote></div><br></div>