<div dir="ltr">You have other ways of distinguishing students from staff (eduPersonAffiliation? or make use of those <a href="http://mail.pima.edu">mail.pima.edu</a> addresses to indicate students). Ideally the services (not your identity provider) determine whether to provide access based on what you assert (for example that they are students or staff or both or neither); if some services are not prepared to do that correctly, then you can use those data  if you like in attribute-filter, to release attributes conditionally (for example only if they are staff).<div><br></div><div>David Bantz</div></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Wed, Jul 3, 2019 at 11:24 AM Mathis, Bradley <<a href="mailto:bmathis@pima.edu">bmathis@pima.edu</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div dir="ltr">Thanks for this feedback also.   the EPPNs have started being used more recently ... I'm not sure we have any systems that actually are used by students e.g.  EPPN of  <a href="mailto:student1@mail.pima.edu" target="_blank">student1@mail.pima.edu</a>  so I might could make the change and not break anything.   hmm though not sure if it might allow students access to things they shouldn't have either. ...  oh boy I better think this one through a bit.<div><br></div><div>Thanks for all the feed back.<br clear="all"><div><div dir="ltr" class="gmail-m_-628440451000481856gmail_signature"><div dir="ltr"><div><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div><div></div><div><br></div><div>Brad Mathis</div><div>IT Principal Systems Analyst</div><div>Infrastructure Services - Applications<br></div><div>Pima Community College<br></div><div>520.206.4826<br></div><div><a href="mailto:bmathis@pima.edu" target="_blank">bmathis@pima.edu</a></div></div><div><br></div><div><img src="https://docs.google.com/a/pima.edu/uc?id=0B4QEFWYNTFJATTZySzROc0JISEk&export=download" width="200" height="150"><br></div><div><br></div><div><br></div><div><br></div><div><br></div><div><br></div></div></div></div></div></div></div></div></div></div></div></div></div></div><br></div></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Wed, Jul 3, 2019 at 12:07 PM Cantor, Scott <<a href="mailto:cantor.2@osu.edu" target="_blank">cantor.2@osu.edu</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">On 7/3/19, 3:03 PM, "users on behalf of IAM David Bantz" <<a href="mailto:users-bounces@shibboleth.net" target="_blank">users-bounces@shibboleth.net</a> on behalf of <a href="mailto:dabantz@alaska.edu" target="_blank">dabantz@alaska.edu</a>> wrote:<br>
<br>
> Assign ePPN of <a href="mailto:student1@pima.edu" target="_blank">student1@pima.edu</a> [instead of the email address] in attribute-resolver.<br>
<br>
Highly advisable, but I assumed those EPPNs were already in wide circulation so as to preclude changing them. If not, by all means, do so.<br>
<br>
-- Scott<br>
<br>
<br>
-- <br>
For Consortium Member technical support, see <a href="https://wiki.shibboleth.net/confluence/x/coFAAg" rel="noreferrer" target="_blank">https://wiki.shibboleth.net/confluence/x/coFAAg</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.net</a><br>
</blockquote></div>
-- <br>
For Consortium Member technical support, see <a href="https://wiki.shibboleth.net/confluence/x/coFAAg" rel="noreferrer" target="_blank">https://wiki.shibboleth.net/confluence/x/coFAAg</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.net</a></blockquote></div>