<div dir="ltr">Thanks Peter,  I appreciate your input.  <div><br></div><div>Brad Mathis<br></div><div><div><div dir="ltr" class="gmail_signature" data-smartmail="gmail_signature"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div><div>IT Systems Architect (Acting)</div><div>Infrastructure Services - Applications<br></div><div>Pima Community College<br></div><div>520.206.4826<br></div><div><a href="mailto:bmathis@pima.edu" target="_blank">bmathis@pima.edu</a></div></div><div><br></div><div><img src="https://docs.google.com/uc?export=download&id=1kpePdW3WkXNvx95EBuHo26kg1x50E5s4&revid=0B4QEFWYNTFJAcnoxVkhJaGtHaHBqdEI2SENTN0J1ODJmUkg0PQ" width="200" height="127"><br></div><div><br></div><div><br></div><div><br></div><div><br></div><div><br></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div><br></div></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Wed, Nov 13, 2019 at 1:09 PM Peter Schober <<a href="mailto:peter.schober@univie.ac.at">peter.schober@univie.ac.at</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">* Mathis, Bradley <<a href="mailto:bmathis@pima.edu" target="_blank">bmathis@pima.edu</a>> [2019-11-13 20:06]:<br>
>    <resolver:AttributeDefinition xsi:type="ad:Template" id="user_id"><br>
>     <resolver:Dependency ref="myLDAP" /><br>
>     <resolver:AttributeEncoder xsi:type="enc:SAML2StringNameID"<br>
> nameFormat="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress" /><br>
>     <ad:SourceAttribute>mail</ad:SourceAttribute><br>
> </resolver:AttributeDefinition><br>
<br>
That's a nonsensical use of a "Template" attribute definition, it<br>
doesn't even have a Template element, cf.<br>
<a href="https://wiki.shibboleth.net/confluence/display/SHIB2/ResolverTemplateAttributeDefinition" rel="noreferrer" target="_blank">https://wiki.shibboleth.net/confluence/display/SHIB2/ResolverTemplateAttributeDefinition</a><br>
<br>
So the above at best is a weird way of writing a "Simple" attribute<br>
defintion: Pull in a source attribute and encode it into a NameID.<br>
<br>
> The part I don't understand is this I have at least 2 other attributes<br>
> definitions in the attribute-resolver.xml that do not work if I release<br>
> them instead,  such as the attribute "frshid"<br>
> <br>
> <resolver:AttributeDefinition xsi:type="ad:Template" id="frshid"><br>
>     <resolver:Dependency ref="myLDAP" /><br>
>     <resolver:AttributeEncoder xsi:type="enc:SAML2StringNameID"<br>
> nameFormat="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress" /><br>
>     <ad:SourceAttribute>mail</ad:SourceAttribute><br>
> </resolver:AttributeDefinition><br>
<br>
That's completely identical to the IDP in every regard with the<br>
exception of the purely internally relevant "id".<br>
So whatever releasing "user_id" in the filter achives must also be<br>
achived by releasing "frshid" in the filter.<br>
<br>
> Here a snippet of the Subject from a SAML trace when it works releasing the<br>
> attribute "user_id"<br>
> <br>
> <saml2:Subject><br>
> <saml2:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress<br>
[...]<br>
> Here's a snippet of the Subject from a SAML trace when it doesn't work<br>
> releasing the attribute "frshid".<br>
> <br>
> <saml2:Subject><br>
> <saml2:NameID Format="urn:oasis:names:tc:SAML:2.0:nameid-format:transient"<br>
<br>
I have no explanation for that since both seem to be for the SAML SP,<br>
i.e., any rules in your IDP based on metadata or relying-party<br>
overrides would have to apply in both cases (as there's only one<br>
entityID).<br>
<br>
> Why does it only work when I use the attribute "user_id"?  I'm glad I was<br>
> able to make it work but not happy that I don't understand why.    I will<br>
> be happy to answer any questions for further clarification if<br>
> needed.<br>
<br>
It makes no sense that it would work any differently given the config<br>
snippets provided above, the definitions for "user_id" and "frshid"<br>
are identical (as any diff tool would tell you) besides the id.<br>
Maybe you haven't released frshid in the filter.<br>
<br>
Either way, the software you're messing with has been finally and<br>
fully obsoleted 3.5 years ago[1], and we're dealing with security<br>
software here. So you're playing with fire every minute you spend on<br>
something other than replacing that server with one based on a current<br>
release.<br>
<br>
Best regards,<br>
-peter<br>
<br>
[1] <a href="http://shibboleth.net/pipermail/announce/2015-May/000112.html" rel="noreferrer" target="_blank">http://shibboleth.net/pipermail/announce/2015-May/000112.html</a><br>
-- <br>
For Consortium Member technical support, see <a href="https://wiki.shibboleth.net/confluence/x/coFAAg" rel="noreferrer" target="_blank">https://wiki.shibboleth.net/confluence/x/coFAAg</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.net</a><br>
</blockquote></div>