<div dir="ltr">We use eDirectory (with NetIQ Identity Manager) and have this working.<div><br></div><div>I can share the script we use to keep groups in check if you're interested.</div><div><br></div><div>Jesse<br clear="all"><div><div dir="ltr" class="gmail_signature" data-smartmail="gmail_signature"><div dir="ltr"><div><div dir="ltr"><div><div dir="ltr"><div><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div style="font-size:12.8px;color:rgb(136,136,136)"><span style="font-size:12.8px"><b><br></b></span></div><div style="font-size:12.8px;color:rgb(136,136,136)"><span style="font-size:12.8px"><b>Jesse Martinich</b></span></div><div style="font-size:12.8px;color:rgb(136,136,136)"><span style="font-size:12.8px">Information Security Officer</span></div><div style="font-size:12.8px;color:rgb(136,136,136)"><span style="font-size:12.8px">Infrastructure Services Manager</span></div><div style="font-size:12.8px;color:rgb(136,136,136)"><font size="1">Southern Oregon University</font><span style="font-size:12.8px"> </span><font size="1">| 1250 Siskiyou Blvd </font><font size="1">| Ashland OR  97520<br></font><span style="font-size:x-small">541-552-8424</span><font size="1"><br></font></div><div style="font-size:12.8px;color:rgb(136,136,136)"><font size="1"><br><br></font></div><div style="font-size:12.8px;color:rgb(136,136,136)"><font size="1"></font></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div><br></div></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Thu, May 14, 2020 at 11:05 AM Joseph Fischetti <<a href="mailto:Joseph.Fischetti@marist.edu">Joseph.Fischetti@marist.edu</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">> Is there a way to obtain memberOf for nested groups memberships?<br>
<br>
I do believe this is a function of your ldap server.<br>
<br>
If you can query your ldap server for a particular user and their 'memberOf' attribute contains groups that they're only indirect members of, then Shibboleth will see it the same way.<br>
<br>
IBM TDS, as an example, requires that you use the non-standard 'ibm-allgroups' attribute instead of 'memberOf' for getting information like this.  The grouping structure is also non-standard.  Groups that are members of other groups must be listed as "ibm-membergroup" instead of "member".  At least that's what I've found.  <br>
<br>
I do believe OpenLDAP is more straightforward and intuitive than that, if that's what you're using.<br>
-- <br>
For Consortium Member technical support, see <a href="https://wiki.shibboleth.net/confluence/x/coFAAg" rel="noreferrer" target="_blank">https://wiki.shibboleth.net/confluence/x/coFAAg</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.net</a><br>
</blockquote></div>