<div dir="ltr"><div class="gmail_extra"><div class="gmail_quote">On Thu, Nov 2, 2017 at 9:01 AM, Andrew Morgan <span dir="ltr"><<a href="mailto:morgan@orst.edu" target="_blank">morgan@orst.edu</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><span class="">On Thu, 2 Nov 2017, Knape, Dean M. wrote:<br></span><span class=""><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">I'm talking about a single instance with multiple domains registered.  In<br>
your case, email to either of the defined addresses delivers to a single<br>
mailbox.  This is effectively what we have now, which is turning into some<br>
very difficult to resolve use cases.<br>
</blockquote>
<br></span>
You can assign users to only one domain, if that's what you want.  For example:<br>
<br>
  User: <a href="mailto:bob@domain1.com" target="_blank">bob@domain1.com</a><br>
<br>
  User: <a href="mailto:sally@domain2.com" target="_blank">sally@domain2.com</a><br>
<br>
Store the correct username for your user in the googlePrincipalName LDAP attribute and return it to Google in the SAML response.<br>
<br>
Is there some detail I'm not considering?  This seems like a simple problem of attribute mapping in the IDP.</blockquote><div><br></div><div>If I understand the request correctly, Dean wants to have an individual, Bob, with accounts <a href="mailto:bob@domain1.com">bob@domain1.com</a> and <a href="mailto:bob@domain2.com">bob@domain2.com</a>, where <a href="http://domain2.com">domain2.com</a> is a secondary domain.</div><div><br></div><div>I haven't yet had a chance to look at Scott's impersonation implementation, but a combination of your (Andrew) solution -- which is similar to ours, except that our users in secondary domains get their primary accounts in the secondary domain and an alias to the primary -- and impersonation would probably solve the issue.  If the user's logging into Google, prompt them in the post-authentication intercept to select their desired Google account based on the selection in their directory object.</div><div><br></div><div>If I understand correctly...</div><div><br></div><div>Greg</div><div><br></div><div> </div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div class="HOEnZb"><div class="h5"><br>
<br>
Thanks,<br>
        Andy<br>
-- <br>
For Consortium Member technical support, see <a href="https://wiki.shibboleth.net/confluence/x/coFAAg" rel="noreferrer" target="_blank">https://wiki.shibboleth.net/co<wbr>nfluence/x/coFAAg</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.n<wbr>et</a><br>
</div></div></blockquote></div><br></div></div>